Перевод документации системы информационной безопасности по ISO/IEC 27001 для промышленных и энергетических компаний

Перевод документации ISO/IEC 27001 нужен промышленной компании тогда, когда правила работы с информацией должны одинаково понимать служба безопасности, производственные подразделения, иностранный поставщик и аудитор. Представим подготовку энергетического предприятия к проверке: политика доступна на русском, инструкция поставщика — на английском, а реестр рисков ведётся в нескольких файлах. В одном документе «владелец актива» отвечает за решение, в другом тем же словом назван сотрудник, который лишь обслуживает систему. При переводе такое расхождение легко закрепить во всём комплекте.

Проблема не ограничивается терминологией. Документ может задавать порядок согласования доступа, сроки сообщения об инциденте или правила передачи данных подрядчику. Если из перевода исчезло исключение, условие или ответственное лицо, сотрудники получают другую инструкцию. Для промышленного заказчика это особенно чувствительно на границе корпоративных информационных систем и автоматизированных систем управления технологическими процессами.

Руководителю информационной безопасности нужен перевод, который можно сопоставить с исходными требованиями и действующими процедурами предприятия. Руководителю закупок — понятный состав работ и критерии приёмки. Ниже рассмотрены подготовка комплекта, согласование глоссария, работа с чувствительными приложениями и проверка результата. Предлагаемые рабочие ситуации служат примерами организации перевода и не описывают инфраструктуру конкретного заказчика.

Перевод ISO/IEC 27001: редакция стандарта и границы системы

На дату подготовки материала в каталоге ISO опубликован ISO/IEC 27001:2022, третье издание от октября 2022 года. К нему указана поправка ISO/IEC 27001:2022/Amd 1:2024, посвящённая климатическим изменениям. Полное обозначение следует занести в реестр нормативных ссылок. Сокращённая запись «ISO 27001» в заголовке рабочего файла не показывает, по какой редакции подготовлено его содержание.

Стандарт устанавливает требования к системе менеджмента информационной безопасности. В документах предприятия могут использоваться сокращения СМИБ или СУИБ; выберите утверждённый вариант и зафиксируйте его соответствие английскому ISMS. Переводчик не должен попеременно называть одной аббревиатурой систему менеджмента, отдельную программу защиты и подразделение безопасности.

Казахстанский промышленный контекст подтверждают открытые отчёты. В годовом отчёте КМГ за 2025 год сообщается о ресертификационном аудите TÜV Rheinland в октябре 2025 года и подтверждении соответствия СМИБ стандарту ISO/IEC 27001:2022. Это датированное сообщение компании, а не основание приписывать одинаковую область сертификации каждому её производственному объекту.

Другой пример — годовой отчёт KEGOC за 2024 год. В нём область применения СУИБ описана через информационную систему управления процессами финансово-экономического блока. Документ также сообщает о надзорном аудите в 2024 году. При переводе подобных сведений нельзя заменять конкретную область словами «все системы компании» или распространять её на всё технологическое оборудование.

До начала проекта попросите заказчика подтвердить границы переводимого комплекта: юридическое лицо, площадки, подразделения, процессы и используемые редакции документов. Отдельно отметьте системы вне заявленной области. Если сведения в сертификате и внутреннем положении различаются, передайте вопрос ответственному за СМИБ. Самостоятельно расширять или сужать область в переводе нельзя.

Связь между переводом стандартов, подтверждающих документов и заявлений о соответствии рассмотрена в руководстве по сертификационной документации. Для информационной безопасности особенно важна точность объекта утверждения: перевод документа, внедрение системы и её сертификация являются разными результатами.

Как собрать документацию СМИБ для перевода

Составьте реестр, в котором каждый файл связан с процессом и владельцем. Для политики укажите утверждающее лицо, для процедуры — исполнителя и согласующего, для записи — источник данных и отчётный период. Название «финальная версия» недостаточно: нужны идентификатор документа, номер редакции и дата. При изменениях в ходе аудита такая привязка позволяет установить, к какому тексту относится замечание.

Для планирования перевода можно использовать следующий перечень:

• область применения СМИБ и политика информационной безопасности;
• методика оценки рисков, реестр рисков и план их обработки;
• заявление о применимости мер обеспечения безопасности;
• процедуры управления доступом, информационными активами и поставщиками;
• порядок регистрации, оценки и обработки инцидентов;
• документы по непрерывности деятельности и восстановлению;
• программа аудита, отчёты, корректирующие действия и материалы анализа руководством;
• формы записей, инструкции для работников и учебные материалы.

Перечень помогает определить объём заказа и не означает, что стандарт требует отдельный файл с каждым таким названием. Организация может объединять сведения или хранить их в своей системе. Задача переводчика — сохранить действующую структуру и прослеживаемость, а не создавать параллельную систему документов по удобному шаблону.

Документированную информацию полезно разделить на правила и свидетельства выполнения. Процедура описывает, что должно происходить; заполненная запись показывает, что было сделано. При переводе отчёта об аудите нельзя превращать запланированное действие в выполненное. Формулировки «назначен ответственный», «планируется проверка» и «результативность подтверждена» должны сохранять свои разные статусы.

Определите, какие приложения нужны внешнему получателю. Аудиторский комплект, материалы для тендера и инструкция для иностранного сервисного инженера могут различаться. При этом исключение чувствительного приложения согласуют с владельцем информации и отражают в реестре. Пропуск без отметки создаёт ложное впечатление полного перевода и мешает последующей проверке.

Если документ содержит ссылки на корпоративную систему, согласуйте способ их представления. Переводчик может сохранить идентификатор и название записи, но не должен заменять недоступную ссылку догадкой о её содержимом. Для передачи внешнему аудитору заказчик определяет допустимый способ предоставления подтверждающих материалов и права получателя.

Для исходников в электронных таблицах отдельно перечислите переводимые поля. Названия рисков, описания мер и комментарии можно переводить, а формулы, числовые оценки, даты и идентификаторы требуют сохранения. Приёмка должна проверять не только читаемость русского текста, но и работоспособность фильтров, ссылок, формул и выпадающих списков после обработки файла.

Терминология ISO/IEC 27001 и заявление о применимости

Начинайте глоссарий с терминов, которые связывают несколько документов. Для каждого приведите исходное обозначение, утверждённый перевод, определение заказчика и пример употребления. Если служба безопасности использует собственный классификатор, он должен быть доступен редактору. Иначе один и тот же статус может получить разные переводы в реестре, инструкции и отчёте.

Для предварительного согласования полезны следующие пары:

• информационный актив (information asset): уточняйте объект учёта и его границы;
• владелец риска (risk owner): сохраняйте назначенную ответственность за управление конкретным риском;
• обработка риска (risk treatment): не подменяйте её одной выбранной мерой защиты;
• мера обеспечения информационной безопасности (information security control): согласуйте единый вариант для всего комплекта;
• остаточный риск (residual risk): сохраняйте связь с проведённой обработкой;
• заявление о применимости (Statement of Applicability, SoA): используйте утверждённое заказчиком название документа.

Список является основой проектного глоссария. Точные определения сверяют с применимой редакцией стандарта и документами организации. Если заказчик уже использует корректный русский термин, менять его только ради стилистического разнообразия не следует. В нормативном комплекте повторение помогает проследить связь требований.

В пояснении группы по практике аудита ISO/IEC 27001 заявление о применимости рассматривается как документ, отражающий необходимые меры, причины их включения, состояние внедрения и обоснование исключённых мер из приложения A. Это поясняющий материал, а не замена тексту стандарта. Для переводческого проекта практический вывод прост: необходимо сохранять каждую из этих категорий сведений.

Предположим, в исходной строке мера признана применимой, но внедрение ещё не завершено. Перевод «соответствует» исказит статус. Другой условный пример: мера исключена с конкретным обоснованием, а перевод сокращает его до «не требуется». Читатель теряет причину решения и не может проверить связь с областью применения. Такие изменения нельзя принимать как редакторское упрощение.

В реестре рисков не объединяйте угрозу, уязвимость, последствие и уровень риска. Даже если в исходнике повторяются похожие слова, поля выполняют разные функции. Сначала уточните модель оценки у владельца документа, затем переводите названия шкал и статусов. Числовые значения и расчётные зависимости не меняют для согласования с другой методикой.

Проверяйте отрицания и условия: «не допускается без согласования», «разрешено после согласования» и «требует уведомления» не равнозначны. Аналогично различайте возможность, рекомендацию и обязанность. При сомнении задавайте вопрос с цитатой исходного фрагмента, а согласованное решение вносите в глоссарий или журнал вопросов с указанием редакции документа.

Где проходит граница между СМИБ и защитой АСУ ТП

Для предприятия с производственными сетями важно не смешать управленческие требования и настройки оборудования. ISO/IEC 27001 относится к системе менеджмента информационной безопасности. Отдельный IEC 62443-⁠2-⁠1:2024 описывает требования к политикам и процедурам программы безопасности владельца эксплуатируемой промышленной системы автоматизации и управления. Ссылки на эти документы должны сохранять предмет и контекст исходника.

Из совпадения терминов нельзя выводить эквивалентность требований. Например, правило доступа к офисному файловому ресурсу и процедура подключения сервисного инженера к технологическому сегменту могут иметь разные согласующие роли. Переводчик сопоставляет названия процессов и участников, но не переносит порядок из одного документа в другой без решения заказчика.

В задании выделите корпоративные информационные технологии (ИТ), операционные технологии (OT) и автоматизированные системы управления технологическими процессами (АСУ ТП). Укажите, какой термин используется на предприятии для каждой группы. Слово «контроллер» в техническом приложении, «средство контроля» в политике и «мера безопасности» в заявлении о применимости не должны сливаться в один вариант из-⁠за общего английского корня.

Рассмотрим условную инструкцию удалённого обслуживания: поставщик направляет заявку, владелец системы согласует окно работ, а уполномоченный сотрудник предоставляет доступ на ограниченный срок. При переводе нужно сохранить последовательность, роли и условие прекращения доступа. Не следует добавлять конкретные команды, сетевые адреса или технические способы подключения, если их нет в согласованном исходнике.

Другое место риска — восстановление после сбоя. Различайте допустимую потерю данных, срок восстановления и период хранения резервной копии, если эти показатели используются в документах. Они отвечают на разные вопросы. Даже одинаковое числовое значение не делает их взаимозаменяемыми: название показателя, единицу времени и условие измерения сверяют отдельно.

Передавая технические приложения редактору, определите, какие обозначения сохраняются буквально. Это могут быть имена переменных, коды оборудования, пути к файлам и названия программ. Перевод описательного текста не должен изменять идентификатор, который сотрудник будет искать в системе. При необходимости пояснение добавляют рядом в согласованном формате, сохраняя исходную запись.

Для закупочного отдела полезен отдельный список вопросов поставщику: какие документы доступны на нужном языке, к какой версии оборудования они относятся и какие изменения внесены после последней поставки. Ответы связывают с реестром документации. Это помогает принять перевод конкретного комплекта, не выдавая его за проверку всей архитектуры безопасности предприятия.

Как передавать документы и проверять перевод

До отправки материалов согласуйте категории информации и допустимые способы обработки. Реестр рисков может содержать больше чувствительных сведений, чем общая политика. Для начальной оценки объёма часто достаточно обезличенного образца и перечня файлов; состав полноценного комплекта определяет владелец информации. Пароли, ключи доступа и действующие секреты не нужны для перевода описания процедуры.

Зафиксируйте круг исполнителей, место хранения, способ передачи, срок работы с копиями и порядок завершения проекта. Если применяются внешние сервисы или системы совместной работы, их использование согласуют до загрузки материалов. Требования заказчика должны распространяться и на промежуточные версии, комментарии редактора и терминологические базы, поскольку в них тоже могут остаться чувствительные фрагменты.

Обезличивание выполняйте управляемо. Замена названий систем условными обозначениями полезна только тогда, когда сохраняются связи между документами. Если один объект получил разные псевдонимы в реестре и процедуре, редактор не сможет проверить соответствие. Таблицу замен хранит уполномоченный сотрудник заказчика; переводчику передают необходимый для работы согласованный вариант.

Проверку качества организуйте по этапам. Переводчик сопоставляет каждое положение с исходником, редактор проверяет терминологию и логику условий, представитель службы безопасности рассматривает вопросы о ролях, рисках и статусах. Технические приложения дополнительно просматривает специалист, который знает соответствующую систему. Итоговые правки должны попадать в единую версию, а не расходиться по электронной переписке.

Для приёмки используйте конкретные критерии:

• переведены все согласованные разделы, приложения, подписи и примечания;
• область применения, роли и статусы совпадают с исходником;
• обозначения стандартов, версии, даты и идентификаторы сверены;
• меры, обоснования и состояние внедрения не объединены и не сокращены;
• формулы и числовые шкалы сохранены, а ссылки открывают нужные записи;
• нерешённые вопросы явно перечислены и имеют ответственного за решение.

После содержательной проверки просмотрите готовые страницы и рабочие таблицы. Длинный перевод может скрыться в ячейке фиксированной высоты, а примечание — перейти на другую страницу без понятной связи с пунктом. Визуальная проверка должна охватывать весь передаваемый комплект. Для многоязычной выдачи также проверьте совпадение нумерации разделов и возможность однозначно сослаться на один и тот же пункт.

Нельзя исправлять недостаток исходной политики скрытой правкой перевода. Если в документе отсутствует ответственный или срок, замечание направляют владельцу процесса. После утверждения изменения сначала получают обновлённый исходник либо формальное решение заказчика, затем синхронизируют языковые версии. Так перевод остаётся проверяемым и не создаёт неутверждённых правил работы.

Задание на перевод и выпуск комплекта для аудита

Подготовьте краткое задание: цель перевода, получатель, языковые пары, нормативная редакция, область применения и требуемая дата выдачи. Приложите реестр файлов и действующий глоссарий. Укажите, какие документы являются утверждёнными, какие находятся на согласовании и какие предоставляются только для справки. Срок проверки замечаний со стороны заказчика включите в общий график.

При большом объёме начните с небольшого согласованного пакета: область применения, фрагмент политики и несколько строк заявления о применимости. По нему можно проверить терминологию, формат вопросов и порядок приёмки. После утверждения решений их распространяют на остальной комплект. Такой подход полезнее, чем исправлять базовые термины во всех файлах накануне аудита.

Бюро технических переводов iText предлагает обсудить перевод документации информационной безопасности для промышленного проекта через раздел технических переводческих услуг. Для оценки задачи нужны состав комплекта, требования к конфиденциальности и доступные сроки согласования. В задании стоит отдельно закрепить сохранение идентификаторов, проверку таблиц и выпуск согласованных языковых версий.

Перед передачей аудитору проверьте перечень выданных файлов и журнал открытых вопросов. В комплект не должны попадать черновики с устаревшими статусами или ответы, оставшиеся только в письмах. Для обсуждения проекта с бюро технических переводов iText достаточно начать с реестра и безопасного образца. Подготовленный перевод должен помогать читателю найти нужное правило, понять ответственность и сопоставить запись с исходником; решение о соответствии СМИБ принимается в отдельной процедуре оценки.