ISO 27001 сьогодні — це не просто сертифікат на стіні, а робоча система, яка дозволяє організації системно керувати ризиками інформаційної безпеки. Станом на 2026 рік чинною є виключно версія ISO/IEC 27001:2022, а в Україні їй відповідає ДСТУ ISO/IEC 27001:2023.

Стандарт будується на ризик-орієнтованому підході та вимагає створити, впровадити, підтримувати й постійно вдосконалювати систему управління інформаційною безпекою (СУІБ). Він охоплює конфіденційність, цілісність і доступність інформації та застосовується до організацій будь-якого розміру й галузі.

Правильно побудована СУІБ зменшує ймовірність інцидентів, підвищує довіру клієнтів і партнерів, а також спрощує відповідність іншим вимогам, зокрема NIS2 та тендерним умовам в Україні.

Що саме регулює ISO 27001 і чому версія 2022 стала єдиною чинною

ISO/IEC 27001 визначає вимоги до системи управління інформаційною безпекою. Він не диктує конкретні технології чи продукти. Натомість стандарт вимагає, щоб організація сама визначила свої ризики, обрала відповідні заходи захисту і довела, що ці заходи працюють.

Перша редакція з’явилася у 2005 році, наступна — у 2013-му. Версія 2022 року, опублікована в жовтні 2022-го, стала відповіддю на зміну ландшафту загроз: хмарні сервіси, віддалену роботу, ланцюги постачання та сучасні кібератаки. Перехідний період для сертифікатів за версією 2013 закінчився 31 жовтня 2025 року. Відтоді всі дійсні сертифікати видаються виключно за вимогами 2022 року.

В Україні національний орган стандартизації прийняв ідентичний переклад — ДСТУ ISO/IEC 27001:2023. Це той самий стандарт, лише з українським позначенням. Для держзакупівель і багатьох тендерів саме посилання на ДСТУ часто є обов’язковим.

Ключова зміна 2022 року — перебудова Додатку А. Замість 114 контролів у 14 доменах тепер 93 контроли, згруповані у чотири теми: організаційні, кадрові, фізичні та технологічні. Додано 11 нових контролів, серед яких розвідка загроз, безпека хмарних сервісів, готовність ІКТ до безперервності діяльності та захист від витоку даних.

Як працює ризик-орієнтований механізм стандарту

Серцем ISO 27001 є процес оцінювання та обробки ризиків. Організація спочатку визначає, що для неї є цінним (активи інформації), які загрози існують і які вразливості можуть бути використані. Далі оцінює ймовірність і вплив, а потім вирішує, як ризики обробляти: знизити, уникнути, передати або прийняти.

Цей підхід відрізняється від простого списку «треба зробити». Контролі з Додатку А не є обов’язковими всі підряд. Організація обирає лише ті, які потрібні для зниження неприйнятних ризиків, і фіксує свій вибір у Заяві про застосовність (Statement of Applicability). Саме цей документ стає одним із центральних під час аудиту.

Цикл роботи СУІБ базується на моделі Plan-Do-Check-Act. Планування включає визначення контексту, політики, цілей і ризиків. Виконання — впровадження контролів і процесів. Перевірка — моніторинг, внутрішні аудити та аналіз з боку керівництва. Дія — коригування та постійне вдосконалення.

Структура вимог: від обов’язкових розділів до 93 контролів

Основна частина стандарту містить розділи 4–10, які є обов’язковими для сертифікації. Вони охоплюють контекст організації, лідерство, планування, підтримку, функціонування, оцінювання результативності та вдосконалення.

Додаток А містить референтний набір контролів. Їхня структура у версії 2022 року виглядає так:

Дані щодо структури контролів базуються на офіційному тексті ISO/IEC 27001:2022 та поясненнях органів стандартизації.

Нові контроли, яких не було у версії 2013, особливо актуальні сьогодні: розвідка загроз (A.5.7), безпека використання хмарних сервісів (A.5.23), готовність ІКТ до безперервності (A.5.30), маскування даних (A.8.11), запобігання витоку даних (A.8.12) і безпечне кодування (A.8.28).

Український контекст і зв’язок із іншими вимогами

В Україні ДСТУ ISO/IEC 27001:2023 має статус національного стандарту з 22 серпня 2023 року. Він ідентичний міжнародному оригіналу. Для компаній, які працюють з державними замовниками або беруть участь у тендерах на ІТ-послуги, наявність сертифіката часто є обов’язковою умовою.

Окремо варто враховувати вимоги NIS2, які стосуються суб’єктів критичної інфраструктури та важливих організацій. Добре впроваджена СУІБ за ISO 27001 покриває значну частину технічних і організаційних заходів, передбачених директивою, хоча й не замінює повністю вимоги щодо звітування про інциденти.

У нашій практиці ми стикалися з випадком, коли середня ІТ-компанія з Києва втратила великий міжнародний контракт саме через відсутність дійсного сертифіката ISO 27001. Після впровадження системи і успішного аудиту вона не лише повернула клієнта, а й відкрила для себе ринок ЄС.

Покроковий шлях впровадження від нуля до сертифіката

Процес можна розбити на логічні етапи, які працюють як для невеликої команди, так і для великої організації.

Спочатку визначають сферу застосування СУІБ. Це може бути вся компанія або окремий підрозділ, продукт чи локація. Далі проводять аналіз контексту: внутрішні й зовнішні фактори, зацікавлені сторони та їхні вимоги.

Наступний крок — розробка політики інформаційної безпеки та призначення відповідальних осіб. Керівництво повинно продемонструвати лідерство і виділити ресурси. Без цього будь-яка спроба впровадження швидко гасне.

Після цього проводять оцінювання ризиків за обраною методологією. Результати фіксують, формують план обробки ризиків і Заяву про застосовність. Паралельно створюють або оновлюють необхідні документи: політики, процедури, реєстри активів, плани реагування на інциденти.

Впровадження контролів займає найбільше часу. Тут важливо не просто написати документи, а зробити так, щоб процеси реально працювали: доступ контролюється, журнали ведуться, персонал проходить навчання, резервне копіювання перевіряється.

Перед зовнішнім аудитом обов’язково проводять внутрішній аудит і аналіз з боку керівництва. Аудит сертифікації складається з двох етапів: перевірка документації (Stage 1) і перевірка впровадження на місці (Stage 2). Після успішного проходження видається сертифікат, дійсний три роки, з щорічними наглядовими аудитами.

Поширені помилки, які найчастіше зривають сертифікацію

Багато організацій витрачають місяці й значні кошти, але не проходять аудит з першої спроби. Ось типові причини:

• Формальне ставлення до ризиків. Організація просто копіює список контролів без реального оцінювання. Аудитор одразу бачить, що Заява про застосовність не пов’язана з фактичними ризиками.
• Відсутність доказів роботи процесів. Політики написані, але немає записів про навчання, перевірок доступу, тестів резервного копіювання чи розслідувань інцидентів.
• Невизначена або надто широка сфера застосування. Якщо сфера охоплює все, а ресурси обмежені, система стає некерованою.
• Ігнорування ролі керівництва. Без реальної підтримки топ-менеджменту СУІБ залишається ініціативою ІТ-відділу і швидко втрачає актуальність.
• Неготовність до наглядових аудитів. Після отримання сертифіката організація «забуває» про систему, і вже через рік виявляється, що багато процесів зупинилися.

За моїм досвідом використання цього підходу протягом місяців підготовки, саме відсутність живих доказів є найпоширенішою причиною невідповідностей.

Чек-лист готовності до зовнішнього аудиту

Перед тим як запрошувати орган сертифікації, варто перевірити себе за цим списком:

1. Сфера застосування СУІБ чітко визначена і задокументована.
2. Політика інформаційної безпеки затверджена керівництвом і доведена до персоналу.
3. Методологія оцінювання ризиків існує і застосовується послідовно.
4. Заява про застосовність містить усі 93 контроли з обґрунтуванням включення чи виключення.
5. Внутрішній аудит проведено, невідповідності усунуто або мають план коригування.
6. Аналіз з боку керівництва відбувся, є протокол і рішення.
7. Є докази компетентності персоналу (навчання, записи).
8. Журнали інцидентів, доступів, змін і моніторингу ведуться і доступні для перевірки.
9. План реагування на інциденти та забезпечення безперервності випробувані.
10. Усі обов’язкові документи актуалізовані й керовані.

Якщо хоча б кілька пунктів викликають сумнів, краще відкласти Stage 2 і доопрацювати систему.

Коли варто звертатися до фахівців, а коли можна впоратися самостійно

Невелика компанія з 20–30 людьми і відносно простими процесами часто може впровадити базову СУІБ власними силами, особливо якщо в команді є людина з досвідом інформаційної безпеки. Основні витрати тоді йдуть на час співробітників і оплату аудиту.

Середні та великі організації, компанії з хмарною інфраструктурою, розробкою програмного забезпечення чи роботою з персональними даними зазвичай потребують зовнішньої допомоги. Консультанти допомагають уникнути типових помилок, правильно визначити сферу, підготувати Заяву про застосовність і пройти перший аудит без зайвих невідповідностей.

Окремий випадок — перехід із версії 2013. Якщо організація не встигла до жовтня 2025 року, зараз доводиться проходити повний початковий аудит за 2022 роком, а не полегшений перехідний. Тут досвідчений консультант економить і час, і нерви.

Питання, які найчастіше ставлять перед початком проєкту

Скільки часу займає впровадження? Для невеликої організації — від 4 до 8 місяців, для середньої — 6–12 місяців, для великої — 12–18 місяців. Критично мати мінімум три місяці доказів роботи системи перед Stage 2.

Чи обов’язково впроваджувати всі 93 контроли? Ні. Обов’язковими є розділи 4–10. Контролі з Додатку А обираються на основі ризиків і фіксуються в Заяві про застосовність.

Чи визнається український сертифікат за кордоном? Так, якщо він виданий органом, акредитованим у системі, визнаній IAF. Більшість великих органів, які працюють в Україні, мають таку акредитацію.

Що робити, якщо сертифікат за 2013 роком уже недійсний? Потрібно проходити повну сертифікацію за версією 2022. Перехідний аудит більше недоступний.

Чи покриває ISO 27001 вимоги NIS2? Значною мірою так, особливо щодо технічних і організаційних заходів. Однак терміни звітування про інциденти та деякі аспекти відповідальності керівництва потребують додаткових процедур.

ISO 27001 у 2026 році — це вже не опція для компаній, які працюють з чутливими даними чи прагнуть виходити на міжнародні ринки. Це структурований спосіб зробити інформаційну безпеку частиною щоденної роботи організації, а не разовою кампанією перед аудитом. Правильно побудована система продовжує приносити користь і після отримання сертифіката — через зниження інцидентів, кращу керованість ризиків і зростання довіри з боку клієнтів і партнерів.