Казахстанские IT-компании, финтех и аутсорсеры все чаще получают от европейских заказчиков один и тот же вопрос: есть ли у вас сертификат ISO/IEC 27001. Ведущий аудитор по информационной безопасности Кирилл Проскурня объясняет, что стоит за этим требованием, во сколько обходится сертификация и с чего начать.
Почему спрашивают именно про ISO/IEC 27001
ISO/IEC 27001 это международный стандарт системы управления информационной безопасностью. Для европейского клиента сертификат означает, что независимый орган проверил, как компания защищает данные: кто имеет доступ к системам, как хранятся резервные копии, что происходит при инциденте, как проверяются подрядчики.
По словам Кирилла Проскурни, в 2026 году требование усилилось из-за европейского регулирования. Директива NIS2 и регламент DORA обязывают банки, платежные сервисы и крупные компании ЕС контролировать своих поставщиков. Проще всего это сделать, запросив сертификат. Поэтому казахстанский подрядчик без ISO/IEC 27001 либо получает длинную анкету на 200 вопросов, либо не проходит отбор вообще.
Что проверяет аудитор на самом деле
Распространенное заблуждение: сертификация это набор документов, которые можно купить и подписать. На практике аудитор смотрит на работающую систему.
Кирилл Проскурня, который проводил сертификационные аудиты для компаний из Казахстана, Украины, Эстонии и Великобритании, выделяет четыре зоны, где чаще всего находят несоответствия:
- Оценка рисков. Компания должна показать, какие угрозы она считает значимыми и что с ними делает. Таблица, скопированная из шаблона, видна сразу.
- Управление доступом. Уволенные сотрудники с активными учетными записями встречаются почти в каждом первом аудите.
- Поставщики. Облачный хостинг, платежный шлюз, подрядчик по разработке. Для каждого должно быть понятно, какие данные он получает и как это контролируется.
- Инциденты. Нужен журнал реальных событий, а не пустой документ «инцидентов не было».
Сроки и стоимость
Подготовка небольшой компании (до 50 сотрудников) занимает от трех до пяти месяцев. Сам сертификационный аудит проходит в два этапа: проверка документации и затем проверка работы системы на практике. Сертификат выдается на три года с ежегодными надзорными аудитами.
Бюджет складывается из консультационной подготовки, стоимости аудита органа по сертификации и внутренних затрат. Кирилл Проскурня советует отдельно проверить аккредитацию органа по сертификации: сертификат от органа без аккредитации европейский клиент может не принять, и деньги будут потрачены впустую.
С чего начать
Первый шаг это определить границы системы: какие процессы, офисы и сервисы попадают под сертификацию. Второй шаг это провести диагностический аудит и понять, насколько компания далека от требований. Третий шаг это назначить ответственного, который будет вести проект, потому что без владельца процесса подготовка растягивается на год.
Отдельный вопрос, который часто задают казахстанские компании: нужен ли сертификат, если клиент пока не требует. Кирилл Проскурня отвечает так: если в планах выход на рынок ЕС, Великобритании или США, готовиться стоит заранее, потому что проверка поставщика обычно происходит на финальной стадии переговоров, когда времени на подготовку уже нет. Компании, которые начали подготовку по собственной инициативе, проходят отбор быстрее и получают более выгодные условия контракта.
«Сертификат нужен не для рамки на стене, а чтобы не терять клиентов на этапе проверки поставщика. Если система выстроена честно, аудит проходит спокойно, а компания получает инструмент, который реально снижает риски», отмечает Кирилл Проскурня.
Подробнее об услугах аудита и подготовки к сертификации можно узнать на сайте Кирилл Проскурня.
Об авторе: Кирилл Проскурня, ведущий аудитор ISO/IEC 27001, CISA, CIPP/E, AIGP, основатель консалтинговой компании BALTUM. Автор курсов по информационной безопасности на Udemy и книги «ISO 27001 Made Simple».
