nesame ISO 27001 sertifikuoti, bet daug dėmesio skiriame saugumui, ką užpildu

Ne-sertifikate, taip-praktikoje gali būti abu teisingi

Taip, tai leidžiama — jei tai traktuoji atskirai nuo klausimo apie patį sertifikatą. ISO 27001-klausimas klausimyne paprastai yra uždaras taip/ne dėl sertifikato turėjimo sertifikatas. Jei jo neturi, tada "ne" yra faktiškai teisingas atsakymas į tą specifinį klausimą, ir jokia papildinė informacija to nekeičia. Tačiau gali būti kitaip: daugelis klausimynų po sertifikato klausimo arba šalia jo klausia atskirus klausimus apie pagrindines priemones — rizikos analizę, prieigos kontrolę, incidentų valdymą. Į juos atsakai pagal jų nuosavus nuopelnus, su jų nuosavais įrodymais, nepriklausomai nuo sertifikato.

Painiava kyla dėl to, kad sertifikavimas ir priemonės liečia tą patį turinį, bet nėra sinonimų. Auditorius, kuris peržiūri A priedą, ir bendrovė, kuri paprasčiausiai įdiegė MFA, atsargines kopijas ir incidento procesą, gali turėti materialiai tas pačias kontroles — skirtumas yra tame, kad vienas turi nepriklausomą patikrinimą ir sertifikatą, o kitas — ne. Grandinės bylose taigi užrašai du atskirius atsakymus: sertifikato klausimui "ne", o klausimui apie pavyzdžiui daugiaaspektė autentifikacija ar saugumo incidentų valdymą faktinį atsakymą su jo įrodymu — politikos dokumentą, konfigūracijos išrašą, proceso aprašymą. Niekada nepildyk vieno kaip įrodymą kitam.

A priedas ir 21 straipsnio 2 dalis persiklaidija, bet nėra keičiami

ISO/IEC 27001 A priedas aprašo kontrolines priemones, kurias privalo apimti sertifikuota vadybos sistema; Direktyva (ES) 2022/2555 21 straipsnio 2 dalis nurodo dešimt priemonių, kurios pagal NIS2 yra privalomossubjektams, kurie patenka į tą direktyvą. Abiejuose sąrašuose minima riziko vadyba, prieiga, kriptografija ir incidentų reagavimas, bet vienas yra sertifikavimo standartas su auditorium, kuris patikrina, o kitas — teisynė be sertifikavimo reikalavimo. Taigi "ne" sertifikatui nieko nesako apie tai, ar žmogus atitinka 21 straipsnio 2 dalį — tai atskiras klausimas, kuris tampa aktualus tik tada, kai nustatyta, ar pati įmonė patenka į NIS2 direktyvą arba Kibernetinio saugumo įstatymą.