Este întreprinderea certificată ISO 27001?

Certificare sau doar norma aplicată

Această întrebare se referă la un certificat, nu la o intenție. "ISO 27001-certificat" înseamnă că o instituție de certificare independentă a evaluat întreprinderea și a emis un certificat, cu o dată de valabilitate și o descriere a sferei de aplicare. Dacă întreprinderea operează conform normei, dar niciodată nu a fost audiată de un auditor extern, atunci răspunsul la această întrebare specifică este nu — chiar dacă practica de fond ar putea fi comparabilă. Această nuanță este exact ceea ce cere acest tip de chestionare: nu "aplicăm securitatea informațiilor", ci "a fost aceasta testată extern și confirmată".

Dacă nu există certificat, este obișnuit să raportați pur și simplu acest lucru, posibil cu o scurtă explicație asupra ceea ce există de fapt: o politică de securitate a informațiilor, o analiză a riscurilor, sau măsuri care sunt substanțial în conformitate cu norma fără evaluarea formală. Mulți achiziționari acceptă aceasta ca răspuns intermediar, mai ales atunci când măsurile de bază — cum ar fi politica pentru analiza riscurilor și securitatea sistemelor informaționale sau acordurile privind controlul accesului și bunurile întreprinderii — sunt în regulă. Certificatul este atunci dovada care lipsește, nu practica din spatele acesteia.

Anexa A ca test practic

Baza pentru ceea ce auditorul evaluează se află în Anexa A a ISO/IEC 27001: lista măsurilor de control pe care norma le prescrie, de la controlul accesului la relațiile cu furnizorii până la managementul incidentelor. Această listă este utilă ca o listă de verificare, chiar fără certificat: cel care poate demonstra că cele mai multe măsuri din Anexa A au fost implementate poate furniza aceasta ca explicație atunci când răspunde "nu" la întrebarea de certificare. Certificatul în sine, cu sfera de aplicare și data de valabilitate, rămâne singurul dovedi că răspunde literal "da" la întrebare.