Сертификация ИСМ ИСО 9001 + ИСО 27001 — интегрированное управление качеством и информационной безопасностью
Интегрированная система менеджмента (ИСМ), объединяющая стандарты ИСО 9001 (ISO 9001) и ИСО 27001 (ISO 27001), является стратегическим инструментом для IT-компаний, разработчиков программного обеспечения, системных интеграторов, облачных провайдеров и сервисных организаций, которые одновременно обеспечивают высокое качество услуг и защиту информации клиентов. Вместо внедрения двух независимых систем организация создаёт единую управленческую платформу, где процессы управления качеством и информационной безопасностью работают синхронно.
ИСО 9001 (ISO 9001) подтверждает, что компания системно управляет качеством продукции и услуг. ИСО 27001 (ISO 27001) — что организация управляет рисками информационной безопасности и защищает данные. Для IT-отрасли оба сертификата необходимы: ИСО 9001 требуется для участия в тендерах (государственных и корпоративных), а ИСО 27001 — для работы с банками, страховыми компаниями, телекоммуникационными операторами и объектами критической информационной инфраструктуры (КИИ).
В 2026 году спрос на ИСМ ИСО 9001+27001 продолжает расти. Федеральный закон No 187-ФЗ о безопасности КИИ, требования ЦБ РФ к субъектам финансового рынка, а также усиление требований к защите персональных данных (152-ФЗ) делают сертификацию по ИСО 27001 практически обязательной для IT-подрядчиков. А наличие ИСО 9001 остаётся базовым требованием заказчиков при выборе поставщика. Интегрированная сертификация позволяет получить оба сертификата экономично и без дублирования усилий.
Почему ИСО 9001 и ИСО 27001 идеально интегрируются
Оба стандарта построены по единой структуре высокого уровня Annex SL (High Level Structure), утверждённой ISO для всех стандартов систем менеджмента. Это означает, что разделы 4–10 обоих стандартов имеют одинаковые названия, логику и терминологию. Общие элементы объединяются в единые процедуры, а специфические — добавляются как подразделы.
| Раздел Annex SL | Общие элементы ИСМ | Специфика ИСО 9001 | Специфика ИСО 27001 |
|---|---|---|---|
| 4. Контекст | Заинтересованные стороны, область применения | Требования потребителей, рынок | Угрозы ИБ, регуляторные требования |
| 5. Лидерство | Роли, ответственность, полномочия | Политика качества | Политика ИБ, ответственный за СМИБ |
| 6. Планирование | Риски и возможности, цели, планы | Риски качества продукции/услуг | Оценка рисков ИБ, план обработки рисков |
| 7. Поддержка | Ресурсы, компетентность, документация | Метрологическое обеспечение | Осведомлённость по ИБ, обучение |
| 8. Операции | Управление процессами | Проектирование, производство, поставка | Реализация плана обработки рисков, контроли Приложения A |
| 9. Оценка | Мониторинг, внутренний аудит, анализ руководства | Удовлетворённость клиентов, KPI качества | Аудит СМИБ, метрики ИБ, инциденты |
| 10. Улучшение | Несоответствия, корректирующие действия | Улучшение качества продукции | Улучшение защиты информации |
Ключевые отличия ИСО 27001 от ИСО 9001 в рамках ИСМ
При интеграции двух стандартов в единую ИСМ необходимо учитывать уникальные требования ИСО 27001 (ISO 27001), которых нет в ИСО 9001 (ISO 9001). Именно эти элементы требуют дополнительной проработки:
| Элемент ИСО 27001 | Описание | Аналог в ИСО 9001 |
|---|---|---|
| Оценка рисков ИБ | Систематическая идентификация угроз, уязвимостей и последствий для информационных активов | Оценка рисков качества (менее формализована) |
| Plan обработки рисков | Документированный план мер по снижению каждого выявленного риска ИБ | Нет прямого аналога |
| Statement of Applicability (SoA) | Заявление о применимости 93 контролей Приложения A с обоснованием включения/исключения каждого | Нет аналога |
| Приложение A (93 контроля) | Организационные, кадровые, физические и технологические меры безопасности | Нет аналога |
| Управление инцидентами ИБ | Процедура выявления, регистрации, реагирования и расследования инцидентов безопасности | Управление несоответствиями (аналогично по структуре) |
| Непрерывность бизнеса | Планы обеспечения непрерывности IT-сервисов при инцидентах | Нет обязательного требования |
Кому необходима ИСМ ИСО 9001+27001
ИСМ ИСО 9001+27001 максимально эффективна для организаций, деятельность которых связана с обработкой данных и одновременным требованием качества услуг. Типичные отрасли и ситуации:
- Разработка программного обеспечения — компании, создающие ПО для банков, госструктур, промышленности, где качество кода и защита данных одинаково критичны
- Системная интеграция — интеграторы, работающие с IT-инфраструктурой клиентов, имеющие доступ к конфиденциальным данным и системам
- Облачные сервисы (SaaS, IaaS, PaaS) — провайдеры, хранящие и обрабатывающие данные клиентов, для которых ИСО 27001 часто обязателен
- IT-аутсорсинг и managed services — компании, обслуживающие IT-инфраструктуру заказчиков, включая банки и объекты КИИ
- Телекоммуникации — операторы связи и интернет-провайдеры, обрабатывающие персональные данные абонентов
- Финтех и платёжные системы — компании, работающие с финансовыми данными, требования ЦБ РФ к которым включают стандарты ИБ
- Консалтинг и аудит — компании, имеющие доступ к конфиденциальной информации клиентов и стремящиеся подтвердить качество услуг
- Госконтракты в сфере IT — подрядчики, работающие с государственными информационными системами (ГИС) и персональными данными граждан
93 контроля ИСО 27001:2022 (Приложение A)
Обновлённая версия ИСО 27001:2022 содержит 93 контроля безопасности, сгруппированных в 4 категории. При разработке ИСМ мы определяем применимость каждого контроля к вашей организации и фиксируем это в Statement of Applicability:
| Категория контролей | Количество | Примеры |
|---|---|---|
| Организационные | 37 контролей | Политики ИБ, ролевая модель, управление активами, контроль доступа, управление поставщиками, непрерывность бизнеса |
| Кадровые | 8 контролей | Проверка при найме, условия трудового договора по ИБ, осведомлённость, дисциплинарные меры, обязательства при увольнении |
| Физические | 14 контролей | Физические периметры безопасности, контроль входа, защита оборудования, безопасная утилизация носителей |
| Технологические | 34 контроля | Управление учётными записями, криптография, защита от вредоносного ПО, резервное копирование, журналирование, сетевая безопасность |
Этапы сертификации ИСМ ИСО 9001+27001
Процесс получения интегрированного сертификата ИСМ ИСО 9001+27001 (ISO 9001+27001) включает следующие этапы. Все работы по обоим стандартам выполняются параллельно:
| Этап | Содержание работ | Срок |
|---|---|---|
| 1. GAP-анализ | Диагностика текущего состояния: аудит IT-инфраструктуры, анализ бизнес-процессов, оценка зрелости ИБ, определение разрывов с требованиями ИСО 9001 и ИСО 27001 | 1–2 недели |
| 2. Оценка рисков ИБ | Идентификация информационных активов, угроз и уязвимостей. Оценка вероятности и последствий. Формирование плана обработки рисков. Разработка SoA | 2–4 недели |
| 3. Разработка документации ИСМ | Интегрированная политика, руководство по ИСМ, процедуры управления качеством и ИБ, должностные инструкции, SoA, реестр рисков | 3–6 недель |
| 4. Внедрение и обучение | Развёртывание технических контролей ИБ, настройка мониторинга, обучение персонала требованиям ИСМ, осведомлённость по ИБ | 3–6 недель |
| 5. Внутренний аудит ИСМ | Комплексная проверка соответствия обоим стандартам, проверка SoA, контролей Приложения A, процессов качества | 1–2 недели |
| 6. Сертификационный аудит (этап 1) | Проверка документации ИСМ органом сертификации, оценка SoA, готовности к основному аудиту | 1–2 дня |
| 7. Сертификационный аудит (этап 2) | Проверка функционирования ИСМ на практике: интервью, тестирование контролей ИБ, анализ процессов качества | 3–5 дней |
| 8. Выдача сертификатов | При успешном аудите — два сертификата: ISO 9001 и ISO 27001 сроком на 3 года | 2–4 недели |
Стоимость ИСМ ИСО 9001+27001 в 2026 году
Стоимость сертификации ИСМ ИСО 9001+27001 зависит от численности персонала, сложности IT-инфраструктуры и объёма обрабатываемых данных. Ниже — ориентировочные цены с учётом разработки документации и сопровождения аудита:
| Численность | Стоимость ИСМ | Два отдельных сертификата | Экономия | Срок |
|---|---|---|---|---|
| До 50 человек | от 110 000 ₽ | от 160 000 ₽ | 31% | от 60 дней |
| 51–200 человек | от 148 000 ₽ | от 220 000 ₽ | 33% | от 75 дней |
| 201–500 человек | от 209 000 ₽ | от 315 000 ₽ | 34% | от 90 дней |
| Более 500 человек | по запросу | по запросу | до 35% | индивидуально |
Регуляторные требования к ИБ в России
Сертификация ИСО 27001 (ISO 27001) в составе ИСМ помогает выполнить ряд регуляторных требований российского законодательства в области информационной безопасности:
- 187-ФЗ о безопасности КИИ — субъекты критической информационной инфраструктуры обязаны обеспечить защиту значимых объектов. ИСО 27001 создаёт системную основу для выполнения этих требований
- 152-ФЗ о персональных данных — операторы персональных данных обязаны обеспечить их безопасность. Контроли ИСО 27001 покрывают большинство требований Роскомнадзора
- Требования ЦБ РФ (ГОСТ 57580.1) — финансовые организации обязаны обеспечить защиту информации. ИСО 27001 признаётся Банком России как базовый стандарт ИБ
- Приказы ФСТЭК — требования к защите информации в государственных информационных системах перекликаются с контролями ИСО 27001
Наличие сертификата ИСО 27001 не заменяет выполнение требований национального законодательства, но создаёт системную основу и значительно упрощает прохождение проверок регуляторов. Аудиторы отмечают, что организации с внедрённой СМИБ по ИСО 27001 значительно лучше подготовлены к проверкам ФСТЭК, Роскомнадзора и ЦБ.
Интегрированная документация ИСМ 9001+27001
Мы разрабатываем полный комплект интегрированной документации, необходимой для прохождения сертификационного аудита по ИСО 9001 (ISO 9001) и ИСО 27001 (ISO 27001) одновременно:
- Интегрированная политика ИСМ — единый документ, объединяющий обязательства в области качества и информационной безопасности
- Руководство по ИСМ — описание системы, область применения, процессная модель, матрица ответственности
- Методология оценки рисков ИБ — процедура идентификации, анализа и оценки рисков информационной безопасности
- Реестр рисков ИБ и план обработки — детальный перечень выявленных рисков с мерами снижения для каждого
- Statement of Applicability (SoA) — заявление о применимости 93 контролей Приложения A с обоснованиями
- Интегрированные процедуры — управление документацией, внутренний аудит, управление несоответствиями, корректирующие действия
- Процедуры ИБ — управление доступом, управление инцидентами ИБ, резервное копирование, криптографическая защита, управление уязвимостями
- Программа осведомлённости — план обучения персонала вопросам ИБ и качества
Преимущества работы с нами по ИСМ ИСО 9001+27001
Мы специализируемся на интегрированных системах менеджмента для IT-отрасли и имеем опыт сертификации компаний от стартапов до крупных системных интеграторов:
- Глубокое понимание IT-специфики — разрабатываем документацию с учётом реальных процессов разработки, DevOps, облачных сервисов
- Опыт работы с ИСО 27001:2022 — новейшая версия стандарта с обновлёнными 93 контролями Приложения A
- Партнёрство с 15 аккредитованными органами по сертификации — подбираем оптимальный для вашей отрасли
- Гарантия получения обоих сертификатов — в случае несоответствий на аудите устраняем за свой счёт
- Помощь в подготовке к проверкам регуляторов (ФСТЭК, Роскомнадзор, ЦБ РФ) на основе внедрённой ИСМ
- Возможность расширения: добавление ИСО 45001, ИСО 14001 или специализированных стандартов (ISO 27017, 27018, 27701)