nem vagyunk ISO 27001 tanúsított, de sokat teszünk a biztonságért, mit töltsek be

Nem a tanúsítványon, igen a gyakorlatban mindkettő igaz lehet

Igen, szabad — feltéve, hogy a tanúsítványra vonatkozó kérdéstől függetlenül kezeled. Az ISO 27001-kérdés a kérdőívben rendszerint zárt igen/nem válasz a tanúsítvány meglétéről szól. tanúsítványHa nincs meg, akkor a "nem" a ténylegesen helyes válasz az adott kérdésre, és ebben a jegyzet nem segít. Viszont lehetséges: sok kérdőív a tanúsítványkérdés után vagy mellett külön kérdéseket tesz fel az alapul szolgáló intézkedésekről — kockázatelemzés, hozzáférés-vezérlés, incidensmegoldás. Ezekre a saját érdemek alapján válaszolsz, a saját bizonyítékkal, a tanúsítványtól függetlenül.

A zavar azért keletkezik, mert a tanúsítás és az intézkedések ugyanazt a tartalmat érintik, de nem szinonimák. Egy auditor, aki az A melléklet mentén halad, és egy vállalat, amely "egyszerűen" beállított MFA-t, biztonsági mentéseket és egy incidensmegoldási folyamatot, anyagilag ugyanazokkal a kontrollokkal rendelkezhet — a különbség az, hogy az egyik független felülvizsgálatot és tanúsítványt kapott, a másik nem. A láncdossziéban tehát két külön választ adsz meg: a tanúsítványkérdésre "nem", és például a többfaktoros hitelesítés vagy a biztonsági incidensek kezelésére a tényleges választ az ezzel kapcsolatos bizonyítékkal — egy szabályzatdokumentummal, egy konfigurációs exporttal, egy folyamatleírással. Soha ne töltsd ki az egyiket a másik bizonyítékaként.

Az A melléklet és a 21. cikk 2. bekezdés átfednek, de nem felcserélhetők

Az ISO/IEC 27001 A melléklete a tárgyalt irányítási intézkedéseket írja le, amelyeket egy tanúsított irányítási rendszernek fednie kell; az (EU) 2022/2555 irányelv 21. cikk 2. bekezdése a tíz intézkedést nevezi meg, amelyek a NIS2 szerint kötelezőek az adott irányelvbe tartozó entitások számára. Mindkét lista megemlít kockázatkezelést, hozzáférést, titkosítást és incidensmegoldást, de az egyik egy tanúsítási szabvány, amelyet egy auditor ellenőriz, a másik viszont jogszabály tanúsítási kötelezettség nélkül. Tehát a tanúsítványra adott "nem" nem mond semmit arról, hogy valaki megfelel-e a 21. cikk 2. bekezdésének — ez egy külön kérdés, amely csak akkor válik relevanssá, ha megállapítható, hogy a vállalat a NIS2-irányelvbe vagy a Kiberbiztonságirányelvbe tartozik-e.