meillä ei ole ISO-sertifikaattia, kuinka silti vastaan kysymykseen

Sertifikaatin puuttuminen ei tarkoita "ei", vaan muuta perustelua

Älä täytä tähän kysymykseen automaattisesti "ei". ISO 27001 -sertifikaatti on auditoijan todiste siitä, että johtamisen kokonaisuus vastaa standardia — mutta asiakkaasi taustalla oleva kysymys koskee yleensä itse toimenpiteitä, ei paperilla olevaa todistusta. Jos sinulla on pääsynhallintaa, poikkeamien käsittelyä, jatkuvuutta ja muita ISO 27001:n liitteen A osia koskeva käytäntö, voit kuvata sen ilman sertifikaattia. Vastaa kysymykseen siis kahdella tasolla: ensin tosiasia ("ei sertifioitu"), sitten selvitys ("käytäntö, joka vastaa seuraavia osia"). Näin vastaus pysyy totta, ja se antaa asiakkaallesi silti jotain hyödyllistä.

Käytännössä kyselylomake jakaa tämän yleensä itse jo: yksi kysymys yrityksen ISO 27001-sertifikaatti erikseen, ja erilliset kysymykset taustalla olevista toimenpiteistä. Vastaa näihin viimeisiin niiden omilla ansioilla — esimerkiksi pääsynhallintoa ja yrityksen omaisuuden hallintaa koskeva kysymys tai riskien analyysi ja tietojärjestelmien suojaus. Jos sinulla ei ole tiettyyn osaan liittyvää asiakirjaa, vastaa silloin "ei" tai "osittain" — ei koko luetteloon kerralla, koska sertifikaatti puuttuu. Yksi puuttuva asia ei saa saastuttaa jokaista muuta vastausta.

Liite A ja artiklan 21 kohdan 2 vaatimukset koskevat toimenpiteitä, ei sertifikaattia

ISO/IEC 27001 koostuu kahdesta osasta: johtamisen kokonaisuutta koskevista vaatimuksista ja liitteestä A hallinnollisista toimenpiteistä (pääsy, salaus, toimittajat, poikkeamat, jatkuvuus ja niin edelleen). Sertifikaatti osoittaa, että auditoija on tarkistanut järjestelmän; se ei ole ainoa tapa osoittaa, että toimenpiteet ovat olemassa. Myös NIS2-direktiivin artiklan 21 kohdan 2 kymmenen pakollista toimenpidettä koskevat sitä, mitä organisaatio tekee — ei sitä, millä sertifikaatilla se on varustautettu. Useimmissa kyselylomakkeissa pätee siis: käytäntö ja todennettava käytäntö vastaavat kysymyksen ytimen, myös ilman ISO-sertifikaattia.