nu suntem certificați ISO 27001 dar facem destul de mult pentru securitate, ce completez

Nu-pe-certificat, da-pe-practică pot fi ambele adevărate

Da, se poate — cu condiția să tratezi aceasta separat de întrebarea privind certificatul în sine. O întrebare ISO 27001 într-o chestionară este de obicei un da/nu închis privind posesia certificatul. Dacă nu ai asta, atunci "nu" este răspunsul factual corect la acea întrebare specifică, iar nicio explicație nu ajută. Ce poate funcționa: multe chestionare pun după sau alături de întrebarea de certificare și întrebări separate despre măsurile subiacente — analiza riscului, controlul accesului, gestionarea incidentelor. Acestea le răspunzi pe meritul lor, cu propria dovadă, indiferent de certificat.

Confuzia apare pentru că certificarea și măsurile ating același conținut, dar nu sunt sinonime. Un auditor care parcurge Anexa A și o companie care pur și simplu a implementat MFA, back-up-uri și un proces de incident pot avea în mod substanțial aceleași controale — diferența este că una dintre ele a suferit o evaluare independentă și are un certificat, cealaltă nu. În dosarul lanțului pui deci două răspunsuri separate: la întrebarea de certificare "nu", și la întrebarea despre de exemplu autentificare multifactor sau tratarea incidentelor de securitate răspunsul factual cu dovada pe care o ai pentru aceasta — un document de politică, o export de configurație, o descriere de proces. Nu umple niciodată una ca dovadă pentru cealaltă.

Anexa A și articolul 21 alineatul 2 se suprapun, dar nu sunt interschimbabile

ISO/IEC 27001 Anexa A descrie măsurile de control pe care un sistem de management certificat trebuie să le acopere; Directiva (UE) 2022/2555 articolul 21 alineatul 2 enumeră cele zece măsuri care sunt obligatorii în temeiul NIS2 pentru entitățile care se încadrează în acea directivă. Ambele liste menționează gestionarea riscului, accesul, cripto și răspunsul la incidente, dar una este o normă de certificare cu un auditor care evaluează, cealaltă este legislație fără obligație de certificare. Un "nu" pe certificat nu spune deci nimic despre dacă cineva respectă articolul 21 alineatul 2 — aceasta este o întrebare separată, care devine relevantă abia după ce se stabilește dacă întreprinderea însuși se încadrează în directiva NIS2 sau în Legea privind securitatea cibernetică.