На підставі тексту посилань надайте розгорнутий список трьох етапів сертифікації ISO 27001 та діяльності кожного етапу.
ISO/IEC 27001 є міжнародним стандартом з управління інформаційною безпекою. Стандарт був спочатку опублікований спільно Міжнародною організацією стандартизації (ISO) і Міжнародною електротехнічною комісією (IEC) в 2005 році, переглянутий в 2013 році, а знову останнім часом в 2022 році. Існує також численні національно визнані варіанти стандарту. Вона визначає вимоги до встановлення, впровадження, підтримки та постійного вдосконалення системи управління інформаційною безпекою (ISMS), метою якої є допомога організаціям зробити інформаційні активи, які вони зберігають, більш безпечними. Організації, які відповідають вимогам стандарту, можуть вибрати сертифікацію акредитованим органом сертифікації після успішного завершення аудиту. Ефективність сертифікаційного процесу ISO/IEC 27001 та загальний стандарт були розглянуті в масштабному дослідженні, проведеному в 2020 році.

Як працює стандарт
Більшість організацій мають ряд контролів інформаційної безпеки. Проте, без системи управління інформаційною безпекою (ISMS), контролі, як правило, дещо неорганізовані і роз'єднані, часто реалізуються як точні рішення для конкретних ситуацій або просто як питання конвенції. Контроли безпеки в експлуатації, як правило, розглядають певні аспекти інформаційних технологій (ІТ) або безпеки даних конкретно; залишаючи неІТ-інформаційні активи (такі як паперознавство та власні знання) менш захищеними в цілому. Більш того, планування безперервності бізнесу та фізична безпека можуть управлятися цілком незалежно від IT або інформаційної безпеки, тоді як практика людських ресурсів може мало посилатися на необхідність визначати та приділяти ролі та відповідальність в галузі інформаційної безпеки по всій організації.

ISO/IEC 27001 вимагає, щоб управління:

систематично вивчати ризики інформаційної безпеки організації з урахуванням загроз, вразливостей та впливів;
розробляти та впроваджувати узгоджений і всеосяжний набір засобів контролю інформаційної безпеки та/або інших форм поводження з ризиками (наприклад, уникнення ризиків або передача ризиків) для вирішення тих ризиків, які вважаються неприйнятними;
Прийняти загальний процес управління, щоб гарантувати, що контролі інформаційної безпеки продовжують відповідати потребам інформаційної безпеки організації на постійній основі.
Які контролі будуть перевірені в рамках сертифікації до ISO/IEC 27001 залежить від сертифікаційного аудитора. Це може включати в себе будь-які контролю, які організація визнала в межах сфери застосування ISMS, і це тестування може бути в будь-якій глибині або в будь-якій мірі, як оцінюється аудитором, якщо це необхідно для тестування того, що контроль був реалізований і працює ефективно.

Керівництво визначає сферу застосування ISMS для цілей сертифікації і може обмежувати її, наприклад, одним діловим підрозділом або місцем розташування. Сертифікат ISO/IEC 27001 не обов'язково означає, що решта організації, поза сферою застосування, має адекватний підхід до управління інформаційною безпекою.

Інші стандарти сімейства стандартів ISO/IEC 27000 надають додаткові рекомендації щодо певних аспектів проектування, впровадження та експлуатації системи, наприклад, щодо управління ризиками інформаційної безпеки (ISO/IEC 27005).

Історія ISO/IEC 27001
BS 7799 був стандартом, який спочатку був опублікований BSI Group в 1995 році. Він був написаний Міністерством торгівлі та промисловості (DTI) уряду Великобританії і складався з декількох частин.

Перша частина, що містить найкращі практики управління інформаційною безпекою, була переглянута в 1998 році; після тривалого обговорення в світових органах стандартизації, вона була прийнята ISO як ISO/IEC 17799, "Інформаційні технології - Кодекс практики управління інформаційною безпекою". У 2000 році. ISO/IEC 17799 був переглянутий в червні 2005 року і, нарешті, включений до серії стандартів ISO 27000 як ISO/IEC 27002 в липні 2007 року.

Друга частина BS7799 була вперше опублікована BSI в 1999 році, відома як BS 7799 Частина 2, під назвою "Системи управління інформаційною безпекою - Специфікація з керівництвом для використання". BS 7799-2 зосереджується на тому, як реалізувати систему управління інформаційною безпекою (ISMS), посилаючись на структуру управління інформаційною безпекою та контролю, визначені в BS 7799-2. Пізніше це стало ISO/IEC 27001:2005. BS 7799 Частина 2 була прийнята ISO як ISO/IEC 27001 в листопаді 2005 року.

BS 7799 Частина 3 була опублікована в 2005 році, що охоплює аналіз і управління ризиками. Вона відповідає стандартам ISO/IEC 27001:2005.

Дуже мало посилань або використання робиться на будь-який з стандартів BS у зв'язку з ISO/IEC 27001.

Сертифікація
ISMS може бути сертифікований відповідно до стандарту ISO/IEC 27001 кількома акредитованими реєстраторами по всьому світу. Сертифікація проти будь-якого з визнаних національних варіантів ISO/IEC 27001 (наприклад, JIS Q 27001, японська версія) акредитованим органом з сертифікації функціонально еквівалентна сертифікації проти самого ISO/IEC 27001.

У деяких країнах органи, які перевіряють відповідність систем управління зазначеним стандартам, називаються «сертифікаційними органами», а в інших країнах їх часто називають «реєстраційними органами», «органами оцінювання та реєстрації», «сертифікаційними/реєстраційними органами», а іноді і «реєстраторами».

Сертифікація ISO/IEC 27001, як і інші сертифікації системи управління ISO, зазвичай включає в себе триступеневий процес зовнішнього аудиту, визначений стандартами ISO/IEC 17021 та ISO/IEC 27006:

Перший етап - це попередній, неформальний огляд ISMS. Наприклад, існують перевірки на наявність і повноту ключової документації, такі як політика безпеки інформації організації, заява про придатність (SoA) і план лікування ризиків (RTP). Цей етап служить для ознайомлення аудиторів з організацією і навпаки.
Другий етап - це більш детальний і формальний аудит відповідності, який самостійно перевіряє ISMS відповідно до вимог, зазначених в ISO/IEC 27001. Аудитори будуть шукати докази, щоб підтвердити, що система управління була правильно розроблена і впроваджена, і фактично працює (наприклад, підтверджуючи, що комітет з безпеки або аналогічний орган управління регулярно збирається для нагляду за ISMS). Сертифікаційний аудит зазвичай проводиться ISO/IEC 27001 Lead Auditors. Проходження цього етапу призводить до сертифікації ISMS відповідно до ISO/IEC 27001.
Продовження включає подальші огляди або аудити для підтвердження того, що організація залишається у відповідності до стандарту. Підтримка сертифікації вимагає періодичних аудитів переоцінки, щоб підтвердити, що ISMS продовжує працювати, як зазначено і призначено. Вони повинні відбуватися щонайменше щороку, але (за погодженням з керівництвом) часто проводяться частіше, особливо тоді, коли ISMS ще дозріває.
Нижче наведено три етапи сертифікації ISO 27001:
1 Етап 1: Попередній, неформальний огляд системи управління інформаційною безпекою. Діяльність включає в себе перевірку наявності та повноти первинної документації.
2. Етап 2: Детальний та офіційний аудит, проведений третьою стороною для підтвердження адекватного виконання вимог, зазначених в ISO 27001
3 Поточні перевірки та аудити для підтвердження постійної відповідності вимогам ISO 27001.