Редакции: ISO/IEC 27001:2022; приказ ОАЦ № 130 — в редакции приказа № 98 от 27.05.2026; приказ ОАЦ № 66 — с изменениями, в том числе внесёнными приказами № 259, № 98 и № 102.
Гайд не является юридическим заключением. Сопоставление мер ISO/IEC 27001 с белорусскими требованиями выполнено по смыслу формулировок и не означает их равнозначности. Точный текст — по ссылкам в разделе «Источники». Применимость требований к вашей организации и объектам определяют ваши юристы и ответственные лица.
Два разных документа
ISO/IEC 27001 — международный стандарт системы управления информационной безопасностью (СУИБ). Его применение добровольно. Стандарт требует оценивать риски и выбирать меры для их обработки; перечень мер — приложение A: 93 меры в четырёх темах (организационные, кадровые, физические, технологические). Неприменимые меры исключаются с обоснованием в Положении о применимости (Statement of Applicability).
Белорусские требования обязательны. Указ № 40 «О кибербезопасности» создаёт национальную систему кибербезопасности, а технические меры определяет ОАЦ (подп. 3.1 п. 3 Указа):
- приказ ОАЦ № 130, приложение 4 — требования к объектам информационной инфраструктуры (чек-лист);
- приказ ОАЦ № 66 — техническая и криптографическая защита информации ограниченного распространения с требованиями по классам информационных систем;
- Закон № 99-З — защита персональных данных.
Главные различия
| ISO/IEC 27001 | Требования Беларуси | |
|---|---|---|
| Статус | Добровольный стандарт | Обязательные акты |
| Выбор мер | По оценке рисков, с исключениями в Положении о применимости | Перечни мер; в приказе № 66 — обязательные и рекомендуемые по классам систем |
| Сроки | Не фиксированы, организация устанавливает сама | Конкретные: обновление ПО в течение месяца, хранение событий не менее года, информирование за 1 час или сутки |
| Криптография | Правила использования определяет организация | Средства криптографической защиты — по государственным стандартам, взаимосвязанным с ТР 2013/027/BY |
| Многофакторная аутентификация | Одна из технологий безопасной аутентификации | Рекомендуемое требование (приказ № 66, п. 5.6) |
Отсюда практический вывод: обязательные требования актов ОАЦ действуют независимо от наличия сертификата ISO/IEC 27001. Но работающая СУИБ даёт для них готовую основу — реестр активов, оценку рисков, политики, журналы и процедуры реагирования.
Сопоставление мер
| Тема | Мера ISO/IEC 27001:2022 | Белорусское требование |
|---|---|---|
| Реквизиты по умолчанию | A.5.17 Authentication information | приказ № 130, прил. 4, п. 1, абзац третий; приказ № 66, п. 4.1 |
| Идентификация и аутентификация | A.5.17, A.8.5 Secure authentication | приказ № 130, п. 1, абзац четвёртый; приказ № 66, пп. 3.2, 3.7, 5.6 (рекомендуемый) |
| Доступ к администрированию | A.8.20 Networks security, A.8.22 Segregation of networks, A.8.9 Configuration management | приказ № 130, п. 1, абзацы пятый и шестой; приказ № 66, пп. 7.4, 7.9 |
| Периметр, межсетевое экранирование | A.8.20, A.8.22, A.8.3 Information access restriction | приказ № 130, п. 1, абзац девятый; приказ № 66, пп. 7.12, 7.13, 7.16 |
| Сегментирование, внутренние потоки | A.8.22 | приказ № 66, пп. 7.11, 7.12 |
| Обновление ПО | A.8.8 Management of technical vulnerabilities | приказ № 130, п. 1, абзац седьмой (в течение месяца); приказ № 66, п. 7.8 |
| События безопасности | A.8.16 Monitoring activities | приказ № 130, п. 1, абзац десятый (не менее года); приказ № 66, пп. 1.2, 1.3 |
| Шифрование при передаче | A.8.24 Use of cryptography | приказ № 66, п. 5.1 (для классов 3-*) |
| Персональные данные | A.8.3 | Закон № 99-З, ст. 16 и 17 |
Где ISO не закрывает белорусские требования
- Сроки. Стандарт не задаёт месяц на обновление ПО и год хранения событий — их нужно прописать в политиках явно.
- Классы информационных систем. Обязательность мер приказа № 66 зависит от класса системы (например, для классов 3-ин, 3-спец, 3-бг, 3-юл и 3-дсп обязательны сегментирование сети управления и межсетевое экранирование внутреннего взаимодействия). В ISO такой классификации нет.
- Криптография. Выбор алгоритмов «по оценке рисков» недостаточен: средства криптографической защиты должны соответствовать государственным стандартам, взаимосвязанным с ТР 2013/027/BY.
- Информирование. Адресаты и сроки установлены актами: центры кибербезопасности — Национальному центру кибербезопасности за 1 час; собственники информационных систем — ОАЦ в течение суток; операторы персональных данных — уполномоченному органу не позднее 3 рабочих дней. Подробнее — в гайде по Указу № 40.
Как помогает Cyber-Cortex
Cyber-Cortex сопоставляет каждую техническую находку одновременно с мерами ISO/IEC 27001, NIST CSF 2.0, CIS Controls и с пунктами белорусских актов — с цитатой и ссылкой на официальную публикацию. Одна проверка даёт доказательства и для аудита СУИБ, и для выполнения требований ОАЦ. Находки указывают на потенциальное несоответствие; вывод делает ответственное лицо организации.