01Что требует стандарт

В ISO/IEC 27001:2022 нужно оценить две части. Разделы 4–10 устанавливают требования к системе менеджмента: область применения, лидерство, оценка и обработка рисков, средства обеспечения, функционирование, мониторинг и улучшение. Приложение A перечисляет 93 меры в четырёх темах: организационные (37), связанные с персоналом (8), физические (14) и технологические (34). Какие меры применяются, вы решаете в Положении о применимости (SoA).

Изменение 2024 года добавило требование определить, является ли изменение климата значимым фактором для вашего контекста (раздел 4.1) и для заинтересованных сторон (4.2).

02Как провести gap-анализ

• Согласуйте область применения и границы СМИБ.
• Проверьте каждое требование разделов 4–10 и оцените его со свидетельствами.
• Изучите методику оценки рисков и наличие актуального реестра рисков.
• Пройдите по мерам Приложения A и подготовьте или обновите SoA.
• Превратите несоответствия в приоритизированный план обработки с ответственными и сроками.

03Типичные несоответствия

• 6.1.2–6.1.3: нет воспроизводимой оценки рисков, или риски не связаны с мерами.
• В SoA нет обоснований для исключённых мер.
• 7.5: документированная информация не управляется.
• 9.2–9.3: нет программы внутренних аудитов или анализа со стороны руководства.
• Не учтены меры Приложения A 5.23 (облачные сервисы) и 8.28 (безопасная разработка), добавленные в редакции 2022 года.

04Почему здесь важен приватный инструмент

Gap-анализ безопасности сам по себе конфиденциален: в нём перечислены ваши слабые места. Gap-оценка Paperwing работает в браузере и хранит всё локально, поэтому ваши выводы никогда не загружаются. Отчёт и зашифрованную резервную копию можно выгрузить.

Часто задаваемые вопросы

Руководства по анализу разрывов ISO

• Анализ разрывов ISO 9001
• Анализ разрывов ISO 14001
• Анализ разрывов ISO 45001