Kas ettevõte on ISO 27001-sertifitseeritud?

Sertifitseerimine või ainult standardi rakendamine

See küsimus küsib sertifikaadi kohta, mitte kavatsuse kohta. "ISO 27001-sertifitseeritud" tähendab, et sõltumatu sertifitseerimisasutus on ettevõtet kontrollnud ja väljastanud sertifikaadi, mille jõuavuse kuupäev ja tegevusvaldkond on määratletud. Kui ettevõte rakendab normi küll, kuid auditorit pole kunagi külastanud, on vastus sellele konkreetsele küsimusele ei — olenemata sellest, et tegelik praktika võib olla võrdne. Täpselt see on sellist tüüpi küsimustikute erinevus: mitte "kas me tegeleme infoturbe harrastamisega" vaid "kas seda on väliselt kontrollitud ja kinnitatud".

Kui sertifikaati pole, on tavapärane seda lihtsalt nii teatada, võimalik et lühikommentaariga selle kohta, mis siiski on: infoturbe poliitika, riskianalüüs või meetmed, mis sisuliselt vastavad normile, ilma ametliku kontrollimisvõimaluseta. Paljud ostjad aktsepteerivad seda vahevastusena, eriti juhul, kui aluseks olevad meetmed — nagu poliitika riskianalüüs ja infosüsteemide kaitse või kokkulepete kohta ligipääsukontroll ja ärivahendid — on korras. Sertifikaat on siis puutuv tõestus, mitte seal taga olev praktika.

Annex A kui praktilise testi vahend

Tõendid selle kohta, mida auditor kontrollib, on ISO/IEC 27001 Annex A-s: nimekirja juhtimistegevuste kohta, mida norm nõuab, ligipääsukontroollist hankijasuheteni kuni insidentide juhtimiseni. Seda loendit saab kasutada kontrollnimekirjana ka ilma sertifikaadita: kes saab näidata, et enamik Annex A-meetmeid on kasutusele võetud, võib seda tõendusena lisada "ei" vastusele sertifikaatsiooniküsimusele. Sertifikaat ise, koos tegevusvaldkonna ja jõuavuse kuupäevaga, jääb ainsaks tõenduseks, mis vastab küsimusele otsesõnu "jah"-ga.