mēs neesum ISO 27001 sertificēti, ko tad jāraksta jautājumkopā

Bez sertifikata tomēr sniedz pamatotu atbildi

Bez ISO 27001 tu neievadi "nē" un tur nepārtraucies — tu atbildi uz pamatjautājumu pamatoti, katram pasākumam atsevišķi. Anketa, kas jautā par sertifikātu, patiesībā vēlas uzzināt, vai desmit pasākumi no NIS2 direktīvas 21. panta 2. punkta (riska analīze, incidentu apstrāde, biznesa nepārtrauktība, piegādes ķēdes drošība, nedrošības ievainojamības pārvaldība, kriptogrāfijas politika, piekļuves kontrole, MFA un pārējie) ir kārtībā. Sertifikāts ir viens veids, kā to pierādīt, bet ne vienīgais. Bez sertifikata tu atbildi katram pasākumam, kas tev ir: politikas dokuments, procedūra, rīks, līgumiska vienošanās ar piegādātāju.

Praksē tas nozīmē, ka tu sertifikāta jautājumu pats atbildi īsi un faktiskus — vai uzņēmums ir ISO 27001 sertificēts? apraksti, kā tu šo konkrēto jautājumu bez sertifikata tomēr pamatoji — un pēc tam neizskaiti turpmākos jautājumus. Daudzi portāli sertifikātu un pamatā esošos pasākumus sadala atsevišķos jautājumos; ja tu ievadi tikai "nē" sertifikāta jautājumā un pārējo lauus atstāj tukšus, pieņēmējam trūkst precīzi tā informācijas, ar kuru viņš veic savu riska novērtējumu. Labāk aizpildi katru daļu ar to, kas faktiskiir klāt, pat ja tas nav ārēji pārbaudīts kopums.

Kur šo saistību atrod: Pielikums A un NIS2 direktīvas 21. panta 2. punkts

ISO/IEC 27001 Pielikums A apraksta pārvaldības pasākumus, ko managementa sistēmai jāaptver, un šie pasākumi lielā mērā pārklājas ar desmit kategorijām no NIS2 direktīvas 21. panta 2. punkta. Pieņēmējs, kas jautā par sertifikātu, faktiski pārbauda, vai šie pamatā esošie pasākumi pastāv; sertifikāts ir ārējās puses apstiprinājums, bet anketa pati bieži vēl jautā arī par komponentiem kā. piekļuves politiku un uzņēmuma līdzekļu pārvaldi vai drošības incidentu risināšanas procedūrasBez sertifikata joprojām pastāv šis pamatjautājums, un tas joprojām ir vērts atbildēt.