mēs neesum ISO 27001 sertificēti, bet mēs daudz darām par drošību, ko jāieraksta

Nē sertifikātā, jā praksē var abi būt patiesi

Jā, tas ir pieļaujams — ja vien to apstrādā atsevišķi no paša sertifikāta jautājuma. ISO 27001 jautājums ankletā parasti ir slēgts jā/nē par sertifikāta esamību. sertifikātsJa jums tā nav, tad "nē" ir faktisks pareizais atbilde uz konkrēto jautājumu, un skaidrojums tam nepalīdz. Kas var darboties: daudzu anketu forma pēc vai blakus sertifikāta jautājumam uzdod arī atsevišķus jautājumus par pamatā esošiem pasākumiem — riska analīzi, piekļuves kontroli, incidentu apstrādi. Uz tiem atbildat pēc to saviem kritērijiem, ar saviem pierādījumiem, neatkarīgi no sertifikāta.

Apjukums rodas tāpēc, ka sertificēšana un pasākumi skar vienu saturu, taču nav sinonīmi. Auditors, kurš pēta A pielikumu, un uzņēmums, kurš "vienkārši" ir ieviesies MFA, dublējumus un incidentu procesu, var materiāli būt ar tādām pašām vadībām — atšķirība ir tā, ka vienai ir neatkarīga pārbaude un sertifikāts, otrai nav. Ķēdes dosejā tu tāpēc noliki divas atsevišķas atbildes: sertifikāta jautājumā "nē", un jautājumā par piemēram vairāku faktoru autentifikācija vai drošības incidentu apstrādi faktisko atbildi ar pierādījumu, kas tam pieder — politikas dokumentu, konfigurācijas eksportu, procesa aprakstu. Nekad vienu neaizpilda kā pierādījumu otram.

A pielikums un 21. panta 2. punkts pārklājas, taču nav savstarpēji aizstājami

ISO/IEC 27001 A pielikums apraksta vadības pasākumus, kurus var sertificēta pārvaldības sistēma; Direktīva (ES) 2022/2555 21. panta 2. punkts nosaka desmit pasākumus, kas ir obligāti saskaņā ar NIS2 subjektiem, uz kuriem attiecas šī direktīva. Abos sarakstos minētas riska vadība, piekļuve, kriptografija un incidentu reaģēšana, taču viens ir sertificēšanas standarts ar auditori, kas pārbauda, otrs ir likumdošana bez sertificēšanas pienākuma. "Nē" sertifikātā neko neizsaka par to, vai persona atbilst 21. panta 2. punktam — tas ir atsevišķs jautājums, kas kļūst aktuāls tikai tad, kad noskaidrots, vai uzņēmums pats ir pakļauts NIS2 direktīvai vai Kibervajadzības likumam.