Czy przedsiębiorstwo posiada certyfikat ISO 27001?

Certyfikacja lub tylko wdrożenie normy

To pytanie dotyczy certyfikatu, a nie zamiaru. "ISO 27001-certyfikowane" oznacza, że niezależna jednostka certyfikująca dokonała oceny przedsiębiorstwa i wydała certyfikat z datą ważności i opisem zakresu. Jeśli przedsiębiorstwo działa zgodnie z normą, ale nigdy nie było przeprowadzane przez audytora, odpowiedź na to konkretne pytanie to nie — nawet jeśli praktyka merytoryczna mogłaby być porównywalna. To właśnie ta subtelność, o którą chodzi w tego typu kwestionariuszach: nie "czy stosujemy bezpieczeństwo informacji", ale "czy zostało to zewnętrznie zweryfikowane i potwierdzone".

Jeśli nie ma certyfikatu, zwyczajowo jest to po prostu zgłaszane, ewentualnie z krótkim wyjaśnieniem tego, co faktycznie istnieje: polityka bezpieczeństwa informacji, analiza ryzyka lub środki, które merytoryczne zgodne z normą, ale bez formalnej weryfikacji. Wielu odbiorców akceptuje to jako odpowiedź pośrednią, szczególnie gdy podstawowe środki — takie jak polityka dla analiza ryzyka i ochrona systemów informacyjnych lub ustalenia dotyczące kontroli dostępu i zasobów przedsiębiorstwa — są w porządku. Certyfikat jest wtedy brakującym dowodem, a nie praktyką stojącą za nim.

Załącznik A jako praktyczny test

Uzasadnienie dla tego, co weryfikuje audytor, znajduje się w Załączniku A normy ISO/IEC 27001: lista środków kontroli, które norma nakazuje, od kontroli dostępu po relacje z dostawcami aż po zarządzanie incydentami. Ta lista jest przydatna jako lista kontrolna, nawet bez certyfikatu: kto może wykazać, że większość środków z Załącznika A została wdrożona, może podać to jako wyjaśnienie przy odpowiedzi "nie" na pytanie o certyfikację. Sam certyfikat, wraz z zakresem i datą ważności, pozostaje jedynym dowodem odpowiadającym dosłownie "tak" na to pytanie.