Mums nav ISO sertifikāta, kā es tik un tā labi atbildu uz šo jautājumu

Nav sertifikāta nav "nē", bet ir cits pamatojums

Neaizpildiet šo jautājumu automātiski ar "nē". ISO 27001 sertifikāts ir auditori sniegtais pierādījums, ka vadības sistēma atbilst standartam — bet jūsu klienta pamatā esošais jautājums parasti attiecas uz pašiem pasākumiem, nevis uz dokumentu. Ja jums ir politika piekļuves kontrolei, incidents vadībai, nepārtrauktībai un citiem ISO 27001 Pielikuma A komponentiem, jūs to varat aprakstīt bez sertifikāta prasības. Tāpēc atbildiet uz jautājumu divos slāņos: pirmkārt fakts ("nav sertificēts"), pēc tam paskaidrojums ("ir politika, kas atbilst šādiem komponentiem"). Tā atbilde paliek pareiza, un klients joprojām saņem kaut ko noderīgu.

Praksē jautājumu saraksts parasti to jau sadala pats: vienu jautājumu par uzņēmuma ISO 27001 sertifikāts atsevišķi, un atsevišķus jautājumus par pamatā esošajiem pasākumiem. Atbildiet uz šiem pēdējiem pēc to paša nozīmes — piemēram, jautājums par piekļuves politiku un uzņēmuma aktīvu pārvaldību vai par riska analīzi un informācijas sistēmu aizsardzību. Ja konkrētam komponentam nav dokumenta, atbildiet tur ar "nē" vai "daļēji" — nevis visai sarakstam vienlaikus tikai tāpēc, ka sertifikāts trūkst. Viens trūkstošs elements nedrīkst piesārņot katru citu atbildi.

Pielikums A un 21. panta 2. punkts pieprasa pasākumus, nevis sertifikātu

ISO/IEC 27001 satur divus daļas: vadības sistēmai izvirzītās prasības, un Pielikumu A ar vadības pasākumiem (piekļuve, kriptogrāfija, piegādātāji, incidenti, nepārtrauktība un tā tālāk). Sertifikāts pierāda, ka auditors ir pārbaudījis sistēmu; tas nav vienīgais veids, kā parādīt, ka pasākumi ir pieejami. Arī NIS2 direktīvas 21. panta 2. punkts, kurā minēti desmit obligātie pasākumi, uzdod jautājumus par to, ko organizācija dara — nevis par to, kāds sertifikāts tai ir. Tāpēc lielākajai daļai jautājumu sarakstu piemēro: politika un pierādāma prakse atbild uz jautājuma būtību arī bez ISO sertifikāta.