nemáme certifikát ISO, ako napriek tomu dobrú odpoveď na túto otázku

Žiadny certifikát nie je "nie", ale iný dôkaz

Nevyplňujte pri tejto otázke automaticky "nie". Certifikát ISO 27001 je dôkaz audítora, že systém riadenia spĺňa normu — ale základná otázka vášho zákazníka sa zvyčajne týka samotných opatrení, nie papiera. Ak máte politiku pre kontrolu prístupu, spracovanie incidentov, kontinuitu a ďalšie súčasti z prílohy A normy ISO 27001, môžete to popísať bez nároku na certifikát. Odpovezte na otázku teda v dvoch vrstvách: najskôr faktom ("bez certifikácie"), potom vysvetlením ("máme politiku, ktorá sa vzťahuje na nasledujúce súčasti"). Takto zostáva odpoveď správny a zákazník z neho má stále prospech.

V praxi zvyčajne túto otázku samotná zoznam už rozdelí: jednu otázku na certifikát ISO 27001 oddelene a jednotlivé otázky na základné opatrenia. Odpovedzte na tieto otázky podľa ich vlastných kvalít — napríklad otázka o politike prístupu a správe majetku podniku alebo o analýze rizík a zabezpečení informačných systémov. Ak pre konkrétnu súčasť nemáte dokument, odpovedzte tam "nie" alebo "čiastočne" — nie na celý zoznam naraz len preto, že chýba certifikát. Jeden chýbajúci kus nemusí pokaziť všetky ostatné odpovede.

Príloha A a článok 21 odsek 2 požadujú opatrenia, nie certifikát

ISO/IEC 27001 sa skladá z dvoch частей: požiadaviek na systém riadenia a prílohy A s kontrolnými opatreniami (prístup, kryptografia, dodávatelia, incidenty, kontinuita a ďalšie). Certifikát dokazuje, že audítor systém overil; nie je to jediný spôsob, ako preukázať, že opatrenia existujú. Ani článok 21 odsek 2 smernice NIS2 s desiatimi povinnými opatreniami nepýta certifikáty — pýta, čo vaša organizácia robí. Pre väčšinu zoznamov teda platí: politika a preukázateľná prax zodpovedajú jadru otázky, aj bez certifikátu ISO.