ISO 27001: як Datami пройшла сертифікацію та готує до неї клієнтів

Готуєте компанію до сертифікації ISO 27001 і хочете знати, на що звернути особливу увагу? Datami пройшла цей шлях сама: за шість тижнів підготувалася та отримала сертифікати ISO/IEC 27001:2022 для двох юридичних осіб. У цій статті ми ділимося власним досвідом, розповідаємо про труднощі та результати сертифікації, а також на прикладах клієнтських проєктів показуємо, як допомагаємо іншим компаніям підготуватися до незалежного аудиту.

Коли компанія замовляє пентест, вона надає зовнішнім фахівцям доступ до своїх систем, застосунків та інфраструктури. Тому замовнику важливо знати не лише те, наскільки добре підрядник знаходить вразливості, а й те, як він сам захищає отримані дані.

Ми щодня допомагаємо бізнесу виявляти кіберризики та посилювати захист. Також готуємо компанії до незалежних аудитів інформаційної безпеки. Але у 2026 році самі опинилися на місці клієнта: вирішили підтвердити відповідність власної системи управління інформаційною безпекою міжнародному стандарту ISO 27001.

30 вересня 2026 року Datami LLC (Україна) та Datami OÜ (Естонія) отримали сертифікати ISO/IEC 27001:2022. За цим результатом стоять шість тижнів роботи команди, незалежний пентест наших платформ і перевірка того, як внутрішні правила безпеки виконуються на практиці.

Що таке ISO/IEC 27001:2022 і що підтверджує сертифікація

ISO/IEC 27001 – міжнародний стандарт, який встановлює вимоги до системи управління інформаційною безпекою, або ISMS (Information Security Management System).

ISMS – це не окрема програма захисту і не набір документів для аудиторів. Це система, за допомогою якої компанія визначає інформаційні ризики, встановлює правила безпеки, розподіляє відповідальність і контролює виконання цих правил.

Редакція ISO/IEC 27001:2022 оновила перелік контрольних заходів у додатку A (Annex A). Серед них з'явилися окремі заходи, присвячені безпеці хмарних сервісів, аналізу інформації про загрози та запобіганню витокам даних.

На практиці відповідність стандарту означає, що компанія системно управляє ризиками, контролює доступ до інформації, захищає активи, працює з постачальниками, реагує на інциденти та вдосконалює процеси безпеки.

Водночас ISO 27001 не вимагає від усіх організацій однакових технічних рішень. Конкретні заходи визначаються з урахуванням ризиків, діяльності компанії та сфери сертифікації.

Сертифікація ISO 27001 засвідчує, що незалежний орган перевірив ISMS у визначеній сфері та встановив її відповідність вимогам стандарту. Вона не гарантує відсутності вразливостей або кіберінцидентів, але підтверджує наявність системного управління інформаційною безпекою.

Відповідність стандарту підтверджує незалежний орган, який видає сертифікат, де зазначено, хто пройшов сертифікацію та що вона охоплює.

Ось основні дані сертифікатів Datami:

Обидва отримані нами сертифікати охоплюють надання послуг із кібербезпеки, зокрема тестування на проникнення:

Datami LLC (Україна) – ISO/IEC 27001:2022, № UA-ISMS-300926-1.

Datami OÜ (Естонія) – ISO/IEC 27001:2022, № EE-ISMS-300926-2.

Чому Datami вирішила пройти сертифікацію ISO 27001

Для компанії, яка надає послуги кібербезпеки, захист інформації клієнтів є частиною щоденної роботи. Проте великим міжнародним замовникам часто недостатньо запевнень постачальника про надійність його внутрішніх процесів.

Банки, фінтех-компанії та корпоративні клієнти оцінюють інформаційну безпеку підрядників ще до початку співпраці. Для них це не лише питання довіри, а й управління ризиками постачальників. Зокрема, європейські регуляторні вимоги DORA та NIS2 посилюють увагу до безпеки ІКТ-підрядників і ланцюгів постачання.

Ми регулярно стикаємося з вимогою ISO 27001 у банківських тендерах і під час переговорів із великими міжнародними компаніями. Для частини потенційних клієнтів наявність сертифіката є обов'язковою умовою співпраці. Без нього навіть досвідчений підрядник із сильним портфоліо може не пройти відбір.

Тому ця сертифікація стала для нас способом незалежно підтвердити відповідність ISMS Datami міжнародному стандарту та отримати доступ до нових можливостей співпраці.

Одна ISMS для двох юридичних осіб

Особливість нашого проєкту полягала в тому, що сертифікацію проходили дві пов'язані компанії – українська Datami LLC та естонська Datami OÜ.

Вони працюють у межах спільної ISMS, тому ми організували єдиний процес сертифікації для обох юридичних осіб.

Система охоплює процеси надання послуг із кібербезпеки, а також співробітників, підрядників і партнерів, які мають доступ до корпоративних сервісів. При цьому організаційні умови відрізняються:

• Datami LLC (Україна) – команда в Україні, офіс, локальні ІТ-активи та операційні процеси.
• Datami OÜ (Естонія) – віддалена команда, європейські підрядники та хмарна інфраструктура.

Нам потрібно було забезпечити узгоджене управління інформаційною безпекою для обох компаній, врахувавши особливості їхньої роботи.

Як ми підготувалися до сертифікації за шість тижнів

Підготовку розпочали в серпні 2026 року. У Datami вже діяли внутрішні правила безпеки, а наша команда мала досвід підготовки інших компаній до ISO 27001. Тому завдання полягало не в тому, щоб побудувати всі процеси з нуля, а щоб систематизувати їх, усунути прогалини та підготувати підтвердження для незалежних аудиторів.

До проєкту залучили CISO, Blue Team Lead, Compliance Officer та Chief Growth and Revenue Officer. За потреби підключалися й інші співробітники.

Роботу організували за чотирма основними напрямами.

1. Окреслили межі ISMS і розподілили відповідальність

Спочатку ми зафіксували, які послуги, інформаційні активи, процеси та ресурси охоплює спільна ISMS двох юридичних осіб.

Далі призначили відповідальних за кожен напрям підготовки: документацію, управління ризиками, технічні заходи безпеки та внутрішні перевірки.

Це дозволило розподілити роботу між фахівцями та узгодити дії команд у межах одного процесу сертифікації.

2. Систематизували політики та документацію

Внутрішні інструкції та правила безпеки в Datami вже існували, але частина документації була розосереджена.

Ми переглянули її, систематизували, доопрацювали та закріпили відповідальних за окремі процеси. Зокрема, оновили політики безпеки пристроїв, управління паролями та автентифікацією, також описали процедури реагування на інциденти.

Після цього перевірили, чи відповідають задокументовані правила реальній роботі компанії. Адже для сертифікації важливо не просто мати політику, а й підтвердити, що її вимоги виконуються.

3. Посилили технічний захист

Окрему увагу приділили безпеці корпоративних комунікацій – електронної пошти та робочих чатів. 

Також переглянули і вдосконалили захист хмарної інфраструктури та процеси зберігання даних. 

Крім того, організували незалежний пентест власних платформ. Для цього залучили зовнішніх фахівців, оскільки перевірка власних систем силами тієї самої команди не забезпечила б необхідної незалежності оцінювання.

4. Перевірили готовність команди та ISMS

Ми провели навчання в кожному підрозділі, використавши вже підготовлені внутрішні матеріали.

Після цього організували внутрішній аудит ISMS та аналіз його результатів із боку керівництва.

Це допомогло перевірити, чи всі процеси належно задокументовані, чи призначені відповідальні та чи є підтвердження виконання встановлених процедур.

Внутрішній аудит і аналіз ISMS керівництвом також стали частиною регулярної роботи компанії.

Як проходив незалежний аудит ISMS Datami

Для незалежної сертифікації ми обрали естонську компанію BALTUM BÜROO OÜ.

Розглядали кілька органів сертифікації, але надали перевагу BALTUM через досвід, надійність, компетентність фахівців і зручну комунікацію.

Аудит проходив в межах спільного процесу для Datami LLC і Datami OÜ. Він зайняв до двох тижнів, включно з попередньою перевіркою, часом на доопрацювання і фінальним аудитом.

Етап 1: перевірка документації та готовності

Спочатку аудитори BALTUM BÜROO OÜ перевірили документацію ISMS, визначену сферу сертифікації та готовність компанії до основної оцінки.

Вони вивчали політики, процедури, розподіл відповідальності та підтвердження того, що система управління інформаційною безпекою впроваджена.

Етап 2: перевірка реальних процесів

Далі увагу приділили тому, як задокументовані правила виконуються на практиці. Аудитори перевірили не лише самі документи, а й те, чи розуміють відповідальні співробітники встановлені процедури та чи можуть підтвердити їх виконання.

Серед матеріалів, які потрібно було надати, були реєстраційні документи, договори, докази роботи внутрішніх процесів, підтвердження захищеного зберігання та обігу документації, а також фотографії фізичних засобів безпеки офісу та прилеглої території.

Що виявилося найскладнішим

Найбільше часу та уваги потребувала документація: кожен документ мав точно відображати роботу компанії, а його положення – бути перевіреними та погодженими керівництвом. Це вимагало залучення ключових фахівців, які паралельно продовжували працювати над клієнтськими проєктами.

Допомогла підтримка інших співробітників: вони підключалися до окремих завдань і частково розвантажували колег, зайнятих питаннями комплаєнсу.

Ми прагнули пройти сертифікацію з першої спроби, тому приділяли особливу увагу деталям, щоб нічого не пропустити.

Які рекомендації ми отримали

За результатами незалежного аудиту критичних невідповідностей не було виявлено. Водночас аудитори надали декілька порад, що ще можна вдосконалити в нашій ISMS, зокрема:

• розділити Statement of Applicability для кожної юридичної особи;
• доповнити реєстр інформаційних активів та організаційну структуру;
• формалізувати підтвердження регулярного перегляду прав доступу.

Усі рекомендації аудиторів ми виконали.

Що змінилося в Datami після сертифікації ISO 27001

Для нас важливі не лише два отримані сертифікати, а й практичні результати підготовки та незалежного аудиту.

Останній результат для нас особливо цінний.

Раніше практичний досвід проходження таких аудитів мали наші фахівці з комплаєнсу. Тепер його отримали всі ключові учасники підготовки. Вони краще розуміють, які питання виникають під час сертифікації, які процеси потребують найбільшої уваги та з якими труднощами можуть зіткнутися клієнти.

Олексій Лавренчук, директор із розвитку (CGO) Datami, коментує:

"Отримання ISO 27001 для нас є підтвердженням того, що ми працюємо за тими ж стандартами, яких вимагають і від наших клієнтів. Регульовані банки та фінтех-компанії повинні перевіряти своїх підрядників, тому для Datami важливо відповідати реальним вимогам ринку. Наш досвід допоміг пройти цей шлях із першої спроби. Ми й надалі використовуватимемо його, щоб якісно готувати клієнтів до незалежних аудитів."

Сертифікація не означає завершення роботи над інформаційною безпекою. ISMS потребує регулярного перегляду ризиків, контролю процесів і постійного вдосконалення.

Для нас цей проєкт став можливістю побачити підготовку до ISO 27001 з іншого боку.

Ми вже мали досвід допомоги клієнтам у підготовці до незалежних аудитів. Тепер доповнили його власним проходженням сертифікації – від організації внутрішньої роботи до взаємодії з аудиторами.

Як Datami допомагає компаніям підготуватися до сертифікації ISO 27001

Одразу важливо розмежувати ролі: ми готуємо компанії до сертифікації, але не видаємо сертифікати ISO 27001. Незалежний орган сертифікації проводить аудит і ухвалює рішення щодо відповідності ISMS стандарту.

Компанія може мати сучасні засоби захисту, але не мати впорядкованої документації. Або навпаки: є написані політики і призначені відповідальні, але ніхто не перевіряв, наскільки ефективно працюють встановлені заходи безпеки.

Тому обсяг підготовки до ISO 27001 залежить від поточного стану ISMS: одній організації достатньо усунути окремі прогалини, іншій – потрібно розробити документацію, впровадити процеси або посилити технічний захист.

Datami допомагає на різних етапах цього шляху: від оцінки готовності до підготовки до зовнішнього сертифікаційного аудиту.

1. Оцінюємо готовність і визначаємо прогалини

Підготовку починаємо не з написання нових політик, а з перевірки того, що вже є.

Ми аналізуємо внутрішню документацію, управління ризиками, контроль доступу, реагування на інциденти та інші процеси інформаційної безпеки. Порівнюємо поточний стан із вимогами ISO 27001 і визначаємо, що потрібно вдосконалити.

Наприклад, під час аудиту політик безпеки фінтех-компанії наша команда перевірила сім політик. Робота охоплювала оцінювання документації щодо вимог інформаційної безпеки, зокрема ISO 27001, і визначення напрямів удосконалення.

Такий аудит допомагає відповісти на практичні запитання: які правила вже працюють, чого бракує та які зміни потрібно впровадити насамперед.

У результаті компанія отримує основу для планування підготовки, а не просто перелік документів, які необхідно створити.

2. Розробляємо політики та допомагаємо впровадити ISMS

Datami допомагає компаніям розробляти політики інформаційної безпеки та впроваджувати ISMS відповідно до вимог ISO 27001. Робота може охоплювати визначення відповідальних, організацію процесів управління ризиками, контролю доступу, реагування на інциденти та підготовку необхідної документації.

Обсяг робіт залежить від початкового стану ISMS: одній організації потрібно розробити політики та впровадити процеси з нуля, іншій – актуалізувати документацію, узгодити наявні практики з вимогами стандарту та підготувати докази їх виконання.

3. Впроваджуємо технічні заходи безпеки

Залежно від ризиків і потреб організації Datami допомагає налаштовувати контроль доступу, моніторинг подій безпеки та вдосконалювати реагування на інциденти.

Наприклад, під час впровадження SOC для ІТ-компанії наша команда налаштувала централізований моніторинг подій безпеки та процеси реагування на інциденти. У межах проєкту реалізували 47 сценаріїв виявлення загроз і 25 сценаріїв реагування. За результатами оцінювання в межах проєкту відповідність вимогам ISO 27001 зросла з 32% до 94%.

А під час впровадження Cloudflare Zero Trust та Wazuh SIEM для SaaS-компанії ми допомогли організувати захищений доступ до ресурсів і централізований моніторинг. Для виявлення підозрілої активності було налаштовано 55 SIEM-сценаріїв.

Такі технічні заходи допомагають посилити захист інформаційних систем. Водночас для відповідності ISO 27001 їх необхідно поєднувати з управлінням ризиками, політиками та іншими процесами інформаційної безпеки.

4. Перевіряємо ефективність технічного захисту

Впроваджені заходи безпеки потрібно перевіряти на практиці. Для цього ми проводимо аудит кібербезпеки та пентест. Ці перевірки допомагають виявити вразливості, недоліки конфігурацій, а також слабкі місця захисту, які необхідно усунути. Доцільність і обсяг таких перевірок визначаються ризиками, особливостями інфраструктури та потребами організації.

Наприклад, під час аудиту безпеки Azure для державної платформи наша команда перевірила конфігурації хмарної інфраструктури. Ми виявили 12 вразливостей, усунення яких допомогло забезпечити відповідність вимогам.

Технічні перевірки доцільні й тоді, коли компанія вже впровадила необхідні заходи безпеки та прагне незалежно оцінити їхню ефективність. Пентест допомагає перевірити стійкість систем до реальних атак та отримати результати тестування для підготовки до сертифікаційного аудиту.

Так, у межах підготовки блокчейн-компанії до сертифікації ISO 27001 команда Datami провела grey-box пентести вебсайту та API. Перевірки не виявили вразливостей критичного або високого рівня небезпеки. За результатами ретесту Datami підтвердила усунення всіх інших виявлених знахідок. Ці перевірки стали частиною комплексної підготовки до сертифікації, яку компанія успішно пройшла та отримала сертифікат ISO/IEC 27001.

5. Підтримуємо проведення внутрішнього аудиту ISMS

Коли документація підготовлена, а необхідні процеси впроваджені, залишається перевірити, чи готова компанія продемонструвати їх незалежним аудиторам.

Ключовий та обов’язковий етап підготовки – внутрішній аудит ISMS. Він дозволяє оцінити відповідність системи вимогам стандарту, виявити проблеми, які потрібно усунути до зовнішньої перевірки, визначити необхідні коригувальні дії.

Команда Datami надає інформаційну та організаційну підтримку під час проведення такого аудиту.

4 поради компаніям, які хочуть отримати сертифікати відповідності

На основі висновків з наших клієнтських проєктів та проходження власної сертифікації хочемо дати кілька практичних рекомендацій тим, хто планує проходження незалежного аудиту:

1. Починайте з аналізу прогалин, а не з написання політик

Не поспішайте створювати нові документи та впроваджувати інструменти захисту. Спочатку розберіться, що у вашій компанії вже працює, а чого бракує для відповідності ISO 27001. Перевірте наявні політики, процеси та заходи безпеки, оцініть ризики. Це допоможе визначити пріоритети, не витрачати ресурси на зайву роботу та зосередитися на справді важливих змінах.

2. Подбайте, щоб ISMS працювала не лише на папері

Навіть ідеально написані політики не допоможуть пройти сертифікацію, якщо співробітники їх не дотримуються. Тому обов’язково призначте відповідальних, налагодьте управління доступами, ризиками та інцидентами, навчіть команду діяти за встановленими правилами. Цим процесам потрібен час, щоб запрацювати, а компанії – щоб зібрати докази їх виконання.

3. Не відкладайте перевірку готовності на останній момент

Не чекайте сертифікаційного аудиту, щоб дізнатися про проблеми. Завчасно проведіть внутрішній аудит ISMS, організуйте аналіз із боку керівництва та усуньте виявлені невідповідності. Переконайтеся, що можете не лише показати аудиторам документи, а й підтвердити, як ваші заходи безпеки працюють на практиці.

4. Не покладайтеся лише на власну оцінку безпеки

Навіть досвідчена внутрішня команда може не помічати слабких місць у системі, з якою працює щодня. Саме тому корисно залучити зовнішніх фахівців – погляд зі сторони допомагає об’єктивніше оцінити стан безпеки: перевірити політики, процеси й технічний захист, знайти прогалини та визначити, що потрібно вдосконалити. Це не замінює обов'язкового внутрішнього аудиту ISMS, але допомагає завчасно виявити додаткові ризики.

Власний досвід сертифікації ISO 27001 на користь нашим клієнтам

Підготовка не зводиться до розробки політик і проходження аудиту – важливо побудувати систему управління інформаційною безпекою, яка працює щодня, допомагає контролювати ризики та захищати бізнес.

Datami знає цей процес з обох сторін, адже ми самі пройшли незалежну сертифікацію та допомагаємо клієнтам підготуватися до неї. Наша команда розуміє, наскільки важливо враховувати особливості кожної компанії – її ризики, процеси та початковий рівень готовності. Саме тому проєкти з підготовки до комплаєнс-аудиту ми починаємо з оцінки поточного стану інформаційної безпеки клієнта, визначаємо прогалини та допомагаємо спланувати подальші кроки.

Якщо ви плануєте пройти сертифікацію ISO 27001 і хочете зрозуміти, наскільки ваша компанія до цього готова, ми готові обговорити ваші завдання та допомогти підготуватися до незалежного аудиту.