Понятие и цели сертификации СУИБ

Целью работ по сертификации также является совершенствование СУИБ организации в соответствии с рекомендациями стандарта ISO/IEC 27001:2005.

Сертификация предусматривает комплексный аудит СУИБ в реальных условиях функционирования с целью проверки наличия рекомендуемых Стандартом механизмов контроля, оценки полноты и правильности их реализации, а также их адекватности существующим рискам. Обязательной составляющей работ по сертификации является анализ рисков информационной безопасности. Сертификация также предусматривает проектирование и внедрение недостающих механизмов контроля, их интеграцию в существующую организационную и программно-техническую инфраструктуру организации, а также оценку эффективности и совершенствование существующих механизмов контроля.

Сертификация проводится органом сертификации в установленном порядке в соответствии со схемой, выбираемой на этапе инициирования процедуры сертификации.

Сертификация СУИБ по требованиям стандарта ISO/IEC 27001:2005 позволяет организации:

• Построить СУИБ организации в соответствии с наиболее востребованным в мире международными стандартоми ИБ - ISO/IEC 27001:2005/17799:2005, на основе лучших примеров мирового опыта, и получить официальный и признаваемый во всем мире «сертификат соответствия», являющийся важным показателем надежности организации в глазах клиентов, партнеров, акционеров, аудиторов, и государственных и контролирующих органов
• Выработать долговременную стратегию развития СУИБ организации, адекватную существующим тенденциям развития
• Достигнуть комплексности, эффективности, прозрачности и экономической обоснованности мер по обеспечению информационной безопасности, предпринимаемых в организации
• Повысить степень привлекательности организации на внутреннем и внешнем рынках

В соответствии с ISO/IEC 27001:2005, одной из ключевых областей контроля является обеспечение соответствии СУИБ организации требованиям действующего законодательства. «Сертификат соответствия» является подтверждением такого соответствия. Информационные системы, успешно прошедшие сертификацию, полностью отвечают требованиям законодательства той страны, в которой они эксплуатируются, и являются полностью подготовленными к аттестации по требованиям безопасности информации в государственной системе сертификации продуктов и услуг РФ.