Vai uzņēmums ir sertificēts ISO 27001?

Sertifikācija vai tikai standarta piemērošana

Šis jautājums prasa par sertifikātu, nevis par nodomu. "ISO 27001-sertificēts" nozīmē, ka neatkarīga sertificēšanas iestāde ir pārbaudījusi uzņēmumu un izdevusi sertifikātu ar derīguma termiņu un darbības jomu. Ja uzņēmums darbojas saskaņā ar standartu, bet auditors nekad nav bijis vietas, tad atbilde uz šo konkrēto jautājumu ir nē — pat ja faktiskā prakse varētu būt salīdzināma. Tieši šī nianses dēļ šādi jautājumnieki ir nepieciešami: nevis "vai mēs nodarbojas ar informācijas drošību", bet "vai tas ir ārēji pārbaudīts un apstiprinājis".

Ja sertifikāta nav, tad parasti to vienkārši paziņo, iespējams, ar īsu paskaidrojumu par to, kas ir: informācijas drošības politika, riska analīze vai pasākumi, kas saturiski saskan ar standartu bez formālās pārbaudes. Daudzi pasūtītāji to pieņem kā starpposmā sniegtu atbildi, jo īpaši tad, ja pamatprocesi — piemēram, politika par riska analīzi un informācijas sistēmu aizsardzību vai vienošanās par piekļuves kontroli un uzņēmuma aktīviem — ir kārtībā. Tad sertifikāts ir vienīgais trūkstošais pierādījums, nevis faktiskā prakse aiz tā.

Pielikums A kā praktisku pārbaude

Pamats tam, ko auditors pārbauda, ir ISO/IEC 27001 Pielikuma A: to pasākumu saraksts, ko standarts prasa, sākot no piekļuves kontroles līdz piegādātāju attiecībām un līdz incidents vadībai. Šis saraksts ir noderīgs kā kontrolsaraksts arī bez sertifikāta: ja kāds var pierādīt, ka lielākā daļa Pielikuma A pasākumu ir ieviesti, to var pievienot kā paskaidrojumu pie "nē" atbildes sertifikācijas jautājumam. Pats sertifikāts ar darbības jomu un derīguma termiņu paliek vienīgais pierādījums, kas burtiski atbild jautājumam ar "jā".