nem vagyunk ISO 27001 tanúsítottak, mit írjak akkor a kérdőívbe

Tanúsítvány nélkül mégsem tartalmi válaszok

ISO 27001 nélkül nem "nem"-et töltesz be, és nem hagyod ott — a mögöttes kérdésre tartalmilag válaszolsz, intézkedésenként. Egy olyan kérdőív, amely tanúsítványt kér, valójában azt szeretné tudni, hogy az NIS2-irányelv 21. cikk 2. bekezdésében foglalt tíz intézkedés (kockázatelemzés, incidensmegoldás, üzletmenet-folytonosság, ellátásilánc-biztonság, sebezhetőségkezelés, titkosítási politika, hozzáférés-kezelés, MFA és a többi) rendben vannak-e. A tanúsítvány ennek egyik módja, de nem az egyetlen. Tanúsítvány nélkül tehát intézkedésenként válaszolsz, hogy mit tudsz felmutatni: egy politikadokumentumot, egy eljárást, egy eszközt, egy szállítóval kötött szerződéses megállapodást.

A gyakorlatban ez azt jelenti, hogy a tanúsítványról szóló kérdésre magára röviden és tényszerűen válaszolsz — van-e az unternehmung ISO 27001-tanúsítványa? leírja, hogyan támasztod alá ezt az adott kérdést tanúsítvány nélkül — és hogy ezt követően nem hagysz ki vervolgvragen. Számos portál szétválasztja a tanúsítványt és a mögöttes intézkedéseket külön kérdésekre; ha csak "nem"-et töltesz be a tanúsítványnál, és a többit üresen hagyod, akkor a beszerzőt megfosztod éppen attól az információtól, amely lehetővé teszi saját kockázatbecslésének elkészítését. Helyesen úgy töltesz ki minden részt, ha azt tünteted fel, ami ténylegesen jelen van, még ha az sem külsőleg tanúsított egész.

Ennek a kapcsolatnak az eredete: Annex A és a 21. cikk 2. bekezdése

Az ISO/IEC 27001 Annex A azokat a kezelőintézkedéseket írja le, amelyeket egy managementsystemnek fednie kell, és ezek az intézkedések jelentős mértékben átfednek az NIS2-irányelv 21. cikk 2. bekezdésének tíz kategóriájával. Az olyan beszerzőt, amely tanúsítványt kér, valójában arra vizsgálja, hogy azok az alapvető intézkedések megvannak-e; a tanúsítvány egy külső fél megerősítése, de a kérdőív maga gyakran külön is rákérdez az olyan alkatrészekre, mint a hozzáférési szabályzat és az üzleti eszközök kezelése vagy biztonsági incidensek kezelésére vonatkozó eljárás. Tanúsítvány nélkül ez a mögöttes kérdés továbbra is fennáll, és továbbra is megér egy választ.