neturime ISO sertifikato, kaip vis dėlto gerai atsakyti į tą klausimą

Jokio sertifikato nėra ne "ne", o kita pagrindimo forma

Nepildykite šio klausimo automatiškai "ne". ISO 27001 sertifikatas yra auditorius atliktų patikrinimų, kad vadybos sistema atitinka standartą — bet jūsų kliento pagrindinį klausimą dažniausiai rūpi patys priemonės, o ne dokumentas. Jei turite prieigos valdymo, incidentų tvarkymo, tęstinumo ir kitų ISO 27001 Priedo A komponentų politiką, galite tai aprašyti be sertifikato pretenzijų. Atsakykite į klausimą dviem lygmenimis: pirmiausia faktas ("nesertifikuota"), tada paaiškinimai ("vis dėlto politika, kuri atitinka šiuos komponentus"). Taip atsakymas lieka teisingas ir suteikia klientui ką nors naudingo.

Praktikoje klausimynas tai dažniausiai skaido ir pats: vieną klausimą ISO 27001 sertifikatas atskirai, ir atskirus klausimus apie pagrindines priemones. Atsakykite į tuos pastarąjį pagal jų nuosavą svarbą — pavyzdžiui, klausimą apie prieigos politiką ir valdymo priemonių valdymą arba rizikos analizę ir informacinių sistemų apsaugą. Jei tam tikram komponentui neturite dokumentų, atsakykite ten "ne" arba "iš dalies" — o ne į visą sąrašą iš karto, nes trūksta sertifikato. Viena trūkstama dalis neturi suteršti kito atsakymo.

Prieda A ir 21 straipsnio 2 dalis reikalauja priemonių, o ne sertifikato

ISO/IEC 27001 pati susideda iš dviejų dalių: reikalavimų vadybos sistemai ir Priedo A su valdymo priemonėmis (prieiga, kriptografija, tiekėjai, incidentai, tęstinumas ir panašiai). Sertifikatas rodo, kad auditorius iš tikrųjų patikrinęs sistemą; jis nėra vienintelis būdas parodyti, kad priemonės yra. Taip pat NIS2 direktyvos 21 straipsnio 2 dalis su dešiomis privalomosiomis priemonėmis klausia, ką daro organizacija — o ne kokį sertifikatą ji turi. Todėl daugumoje klausimynų galioja: politika ir pagrįsta praktika atsako į klausimo branduolį, net be ISO sertifikato.