L'impresa è certificata ISO 27001?

Certificazione o sola applicazione della norma

Questa domanda chiede un certificato, non un'intenzione. "Certificato ISO 27001" significa che un organismo di certificazione indipendente ha verificato l'azienda e ha rilasciato un certificato, con una data di scadenza e una descrizione dell'ambito. Se l'azienda opera secondo la norma, ma nessun revisore è mai stato coinvolto, la risposta a questa domanda specifica è no — anche se la pratica sostanziale potrebbe essere comparabile. Proprio questa sfumatura è ciò che questi tipi di questionari chiedono: non "applichiamo la sicurezza delle informazioni" ma "è stato verificato e confermato esternamente".

Se non c'è certificato, di solito è opportuno segnalarlo semplicemente, eventualmente con una breve spiegazione di ciò che esiste comunque: una politica di sicurezza delle informazioni, un'analisi dei rischi, o misure sostanzialmente coerenti con la norma senza la verifica formale. Molti clienti accettano questo come risposta intermedia, soprattutto quando le misure sottostanti — come la politica per analisi dei rischi e protezione dei sistemi informativi o gli accordi su controllo degli accessi e beni aziendali — sono in ordine. Il certificato è allora il documento di prova che manca, non la pratica sottostante.

Allegato A come test pratico

La base per ciò che un revisore verifica si trova nell'Allegato A della ISO/IEC 27001: l'elenco delle misure di controllo prescritte dalla norma, dal controllo degli accessi alle relazioni con i fornitori alla gestione degli incidenti. Questo elenco può essere utilizzato come lista di controllo, anche senza certificato: chi può dimostrare che la maggior parte delle misure dell'Allegato A sono state implementate, può fornire questo come spiegazione in risposta a un "no" alla domanda di certificazione. Il certificato stesso, con ambito e data di scadenza, rimane l'unica prova che risponde letteralmente "sì" alla domanda.