δεν είμαστε πιστοποιημένοι ISO 27001, τι γράφω στο ερωτηματολόγιο

Χωρίς πιστοποίηση παρ' όλα αυτά να απαντήσετε ουσιαστικά

Χωρίς ISO 27001 δεν συμπληρώνετε «όχι» και δεν σταματάτε εκεί — απαντάτε στο υποκείμενο ερώτημα ουσιαστικά, ανά μέτρο. Ένας ερωτηματολόγιος που ρωτά για το πιστοποιητικό, θέλει στην πραγματικότητα να ξέρει αν τα δέκα μέτρα του άρθρου 21 παράγραφος 2 της Οδηγίας NIS2 (ανάλυση κινδύνου, διαχείριση συμβάντων, συνέχεια δραστηριότητας, ασφάλεια της αλυσίδας, διαχείριση ευπάθειας, πολιτική κρυπτογραφίας, έλεγχος πρόσβασης, MFA και τα υπόλοιπα) είναι σε τάξη. Το πιστοποιητικό είναι ένας τρόπος για να το αποδείξετε, όχι ο μόνος. Χωρίς πιστοποίηση απαντάτε λοιπόν ανά μέτρο τι έχετε πραγματικά: ένα έγγραφο πολιτικής, μια διαδικασία, ένα εργαλείο, μια συμβατική συμφωνία με έναν προμηθευτή.

Στην πράξη, αυτό σημαίνει ότι απαντάτε στο ερώτημα για το πιστοποιητικό το ίδιο σύντομα και αποδεικτικά — η επιχείρηση είναι πιστοποιημένη σύμφωνα με το ISO 27001; περιγράφει πώς αιτιολογείτε αυτό το συγκεκριμένο ερώτημα χωρίς πιστοποίηση — και στη συνέχεια δεν παραλείπετε τα ακόλουθα ερωτήματα. Πολλά πορτάλ χωρίζουν το πιστοποιητικό και τα υποκείμενα μέτρα σε ξεχωριστά ερωτήματα· αν συμπληρώσετε μόνο «όχι» στο πιστοποιητικό και αφήσετε το υπόλοιπο κενό, ο αποδέκτης χάνει ακριβώς τις πληροφορίες με τις οποίες κάνει τη δική του αξιολόγηση κινδύνου. Συμπληρώστε κάθε μέρος με αυτό που πραγματικά υπάρχει, ακόμη και αν δεν πρόκειται για ένα εξωτερικά δοκιμασμένο σύνολο.

Όπου προκύπτει αυτή η σχέση: Παράρτημα A και άρθρο 21 παράγραφος 2

Το Παράρτημα A του ISO/IEC 27001 περιγράφει τα μέτρα ελέγχου που πρέπει να καλύπτει ένα σύστημα διαχείρισης και αυτά τα μέτρα επικαλύπτονται σε μεγάλο βαθμό με τις δέκα κατηγορίες του άρθρου 21 παράγραφος 2 της Οδηγίας NIS2. Ένας αποδέκτης που ρωτά για το πιστοποιητικό, ουσιαστικά δοκιμάζει εάν υπάρχουν αυτά τα υποκείμενα μέτρα· το πιστοποιητικό είναι η επιβεβαίωση από ένα εξωτερικό μέρος, αλλά ο ίδιος ο ερωτηματολόγιος συχνά ρωτά επίσης ξεχωριστά για μέρη όπως την πολιτική πρόσβασης και τη διαχείριση των περιουσιακών στοιχείων της επιχείρησης ή τη διαδικασία για περιστατικά ασφαλείας. Χωρίς πιστοποίηση, το υποκείμενο ερώτημα παραμένει και το αξίζει το ερώτημα να απαντηθεί.