Мы часто встречаем проекты, где мобильное приложение уже работает, но клиент хочет получить сертификат ISO 27001 для выхода на международные рынки или выполнения тендерных требований. Стандарт требует не только технических мер, но и построения системы управления информационной безопасностью (ISMS). Без этой системы аудит не пройти. Недавно мы помогли финтех-стартапу из ЕС пройти сертификацию за 6 месяцев: основные проблемы были с управлением секретами и документированием рисков. Полностью переписали CI/CD, внедрили GitLeaks и MobSF, подготовили SoA с нуля. Клиент прошёл аудит с первой попытки.
ISO 27001 — международный стандарт, который, в отличие от GDPR или HIPAA, не привязан к конкретному типу данных или юрисдикции. Это система управления, которую нужно задокументировать и пройти аудит аккредитованного органа. Наш опыт показывает: большинство проблем возникает именно на этапе документирования процессов, а не на технических контролях. Например, на подготовку документации уходит до 60% общего времени проекта. Для точной оценки вашего проекта свяжитесь с нами.
Для мобильного приложения ISO 27001 означает, что все процессы разработки, деплоя и эксплуатации встроены в ISMS организации. Технические контроли — только часть требований. Мы помогаем компаниям пройти этот путь от gap analysis до сертификации. За 5 лет на рынке мы реализовали более 20 проектов по безопасности мобильных приложений.
Почему ISO 27001 важен для мобильного приложения?
Сертификат подтверждает, что процессы разработки защищены на уровне мировых стандартов. Это необходимо для работы с финансовыми учреждениями, медицинскими данными или государственными заказами. Без ISO 27001 многие клиенты просто не рассматривают продукт. Сертифицированное приложение получает в 3 раза больше доверия клиентов по сравнению с несертифицированным.
Как обеспечить соответствие мобильного приложения требованиям ISO 27001
Мы разбиваем работу на два блока: технические контроли и документация ISMS. Вот главные технические меры.
Управление секретами (контроль A.8.9)
Захардкоженные API-ключи в коде — частая находка при аудите. Секреты никогда не должны попадать в репозиторий:
// Неправильно — нарушает A.8.9 val apiKey = "sk-prod-abc123xyz" // Правильно — через BuildConfig из CI/CD секретов val apiKey = BuildConfig.API_KEY // Ещё лучше — ключ получается с сервера при аутентификации val apiKey = tokenManager.getApiKey() Для iOS используем xcconfig-файлы, которые не коммитятся. Добавляем GitLeaks в pre-commit hook и CI pipeline. Согласно ISO 27001, контроль A.8.9, секреты должны храниться отдельно от исходного кода и передаваться через безопасные каналы.
Управление криптографическими ключами (контроль A.8.24)
Стандарт требует документированной политики: срок ротации, процедура, хранение. Для мобильного приложения:
- Сертификаты TLS: ротация за 30 дней до истечения, certificate pinning обновляется через OTA-конфиг.
- Ключи подписи: хранение в HSM или облачном key management (AWS KMS, Google Cloud KMS).
- Ключи шифрования локальных данных: в Android Keystore или iOS Secure Enclave.
Vulnerability Management (контроли A.8.7, A.8.8)
Документированный процесс с доказательствами:
- SAST — статический анализ при каждом PR (MobSF в CI, Semgrep custom rules).
- Dependency scanning — Dependabot или OWASP Dependency-Check.
- Pentest — ежегодно или после крупных изменений. Отчёт хранится для аудитора.
- SLA на исправление: критические — сутки, высокие — неделя, средние — месяц.
Secure SDLC (контроль A.5.8)
Моделирование угроз (STRIDE) при проектировании новых фич, требования безопасности в acceptance criteria, code review для изменений, затрагивающих аутентификацию или шифрование. Всё это фиксируется в документации.
Какая документация нужна для сертификации
Аудитор смотрит не на код, а на документы. Обязательный набор. Ниже — таблица с описанием ключевых документов.
| Документ | Назначение | Когда готовится |
|---|---|---|
| Реестр активов | Исходный код, ключи, production-данные | На старте проекта |
| Реестр рисков | Оценка угроз и impact для каждого актива | После идентификации активов |
| Заявление о применимости (SoA) | Какие контроли применяются, исключения | После реестра рисков |
| План реагирования на инциденты | Процедура при утечке или компрометации | До аудита |
| Политика безопасности поставщиков | Требования к SDK и облачным сервисам | В процессе документирования ISMS |
Все документы версионируются и подписываются. Самостоятельная подготовка занимает в 2 раза больше времени и часто содержит ошибки — с нами вы проходите этот путь быстрее.
Полный список контролей, проверяемых аудитором
- A.5.8 Secure SDLC
- A.5.9 Revalidation
- A.8.7 Vulnerability management
- A.8.8 Technical review
- A.8.9 Secrets management
- A.8.24 Key management
- A.12.1 Protection from malware
- A.12.6 Technical vulnerability management
Сравнение: ISO 27001 vs self-assessment
| Параметр | ISO 27001 (сертификация) | Self-assessment |
|---|---|---|
| Доверие клиентов | Высокое (международное признание) | Среднее (внутренняя оценка) |
| Трудоёмкость | Полная ISMS + аудит | Gap analysis только технических мер |
| Сроки | 4–9 месяцев | 1–2 месяца |
| Стоимость | от 5 000 до 15 000 € | Ниже, но без сертификата |
Сертификация даёт официальное подтверждение, которое self-assessment не обеспечивает. Экономия на услугах аудитора при правильной подготовке составляет до 40%.
Что входит в нашу работу
Мы сопровождаем проект от gap analysis до получения сертификата. В рамках сотрудничества вы получаете:
- Полную документацию ISMS (шаблоны и заполненные документы под ваш проект).
- Настройку CI/CD для безопасного управления секретами.
- Внедрение SAST и dependency scanning.
- Подготовку к аудиту и сопровождение на всех этапах.
- Обучение команды процессам ISMS.
- Пост-сертификационную поддержку (ежегодные аудиты).
Сроки и как начать
Ориентировочные сроки:
- Gap analysis + дорожная карта: 1–2 недели.
- Внедрение технических контролей: 4–8 недель.
- Документирование ISMS: 2–4 месяца.
- Полный цикл до сертификации: 4–9 месяцев.
Стоимость рассчитывается индивидуально — зависит от текущего уровня безопасности и сложности приложения. Получите консультацию по сертификации ISO 27001 для вашего мобильного приложения. Свяжитесь с нами для оценки проекта — мы поможем пройти путь до сертификата с минимальными рисками.
В процессе мобильной разработки по ISO 27001 мы внедряем все необходимые контроли, чтобы ваше приложение соответствовало мировым стандартам безопасности и получило доверие клиентов и партнёров.