δεν είμαστε πιστοποιημένοι κατά ISO 27001 αλλά κάνουμε πολλά για την ασφάλεια, τι συμπληρώνω

Όχι στο πιστοποιητικό, ναι στην πράξη μπορεί και τα δύο να είναι αληθή

Ναι, αυτό επιτρέπεται — με την προϋπόθεση ότι το αντιμετωπίζεις ξεχωριστά από την ερώτηση για το ίδιο το πιστοποιητικό. Μια ερώτηση ISO 27001 σε μια ερωτηματολόγιο είναι συνήθως κλειστή ναι/όχι σχετικά με την κατοχή του το πιστοποιητικό. Αν δεν το έχεις, τότε το "όχι" είναι η ουσιαστικά σωστή απάντηση στη συγκεκριμένη ερώτηση, και καμία διευκρίνιση δεν βοηθάει σε αυτό. Αυτό που μπορεί να γίνει: πολλά ερωτηματολόγια θέτουν μετά ή δίπλα στην ερώτηση του πιστοποιητικού και επιμέρους ερωτήσεις σχετικά με τα υποκείμενα μέτρα — ανάλυση κινδύνου, έλεγχος πρόσβασης, χειρισμός περιστατικών. Αυτές τις απαντάς με βάση τα δικά τους προσόντα, με τα δικά τους στοιχεία, ανεξάρτητα από το πιστοποιητικό.

Η σύγχυση προκύπτει επειδή η πιστοποίηση και τα μέτρα αγγίζουν το ίδιο περιεχόμενο αλλά δεν είναι συνώνυμα. Ένας ελεγκτής που διατρέχει το Παράρτημα Α και μια εταιρεία που έχει απλώς ρυθμίσει MFA, αντίγραφα ασφαλείας και μια διαδικασία χειρισμού περιστατικών, μπορεί να έχουν ουσιαστικά τους ίδιους ελέγχους — η διαφορά είναι ότι ο ένας έχει έναν ανεξάρτητο έλεγχο και ένα πιστοποιητικό, ο άλλος όχι. Στο κατάλογο της αλυσίδας ορίζεις λοιπόν δύο ξεχωριστές απαντήσεις: στην ερώτηση του πιστοποιητικού "όχι", και στην ερώτηση για παράδειγμα η πολυπλέκτορη ταυτοποίηση ή τη χειραγώγηση των περιστατικών ασφάλειας την ουσιαστική απάντηση με το στοιχείο που έχεις γι' αυτό — ένα έγγραφο πολιτικής, μια εξαγωγή διαμόρφωσης, μια περιγραφή διαδικασίας. Ποτέ δεν συμπληρώνεις το ένα ως απόδειξη του άλλου.

Το Παράρτημα Α και το άρθρο 21 παράγραφος 2 επικαλύπτονται, αλλά δεν είναι εναλλάξιμα

Το ISO/IEC 27001 Παράρτημα Α περιγράφει τα μέτρα ελέγχου που πρέπει να καλύπτει ένα πιστοποιημένο σύστημα διαχείρισης· η Οδηγία (ΕΕ) 2022/2555 άρθρο 21 παράγραφος 2 αναφέρει τα δέκα μέτρα που είναι υποχρεωτικά σύμφωνα με το NIS2 για τους φορείς που εμπίπτουν σε αυτή την οδηγία. Και οι δύο λίστες αναφέρουν διαχείριση κινδύνου, πρόσβαση, κρυπτογραφία και αντίδραση σε περιστατικά, αλλά το ένα είναι ένα πρότυπο πιστοποίησης με έναν ελεγκτή που κάνει έλεγχο, το άλλο είναι νομοθεσία χωρίς υποχρέωση πιστοποίησης. Ένα "όχι" στο πιστοποιητικό λοιπόν δεν λέει τίποτα για το αν κάποιος συμμορφώνεται με το άρθρο 21 παράγραφος 2 — αυτή είναι μια ξεχωριστή ερώτηση, που γίνεται σχετική μόνο όταν διαπιστωθεί αν η επιχείρηση εμπίπτει στην οδηγία NIS2 ή στο Νόμο περί Κυβερνοασφάλειας.