nemáme certifikáciu ISO 27001, čo napíšem do zoznamu otázok

Bez certifikátu napriek tomu vecne odpovedať

Bez ISO 27001 nevyplníš "nie" a nezastavíš sa pri tom — odpovedáš na základnú otázku vecne, podľa jednotlivých opatrení. Dotazník, ktorý sa pýta na certifikát, chce v skutočnosti vedieť, či je na mieste desať opatrení z článku 21 ods. 2 smernice NIS2 (analýza rizík, riešenie incidentov, kontinuita podnikania, bezpečnosť v dodávateľskom reťazci, riadenie zraniteľností, politika kryptografie, riadenie prístupu, MFA a zvyšok) v poriadku. Certifikát je jedným spôsobom, ako to preukázať, nie jediným. Bez certifikátu teda odpovedáš pri každom opatrení, čo máš: politický dokument, procedúru, nástroj, zmluvnú dohodu s dodávateľom.

V praxi to znamená, že otázku na samotný certifikát si krátko a fakticky zodpovieš — je podnik certifikovaný podľa ISO 27001? popis, ako si bez certifikátu túto špecifickú otázku aj napriek tomu podložil — a že ďalej nezabudneš na nasledujúce otázky. Mnohé portály rozdeľujú certifikát a základné opatrenia na samostatné otázky; ak vyplníš len "nie" na certifikáte a zvyšok necháš prázdne, kupujúcemu chýba presne informácia, ktorou si sám ohodnotí svoje riziko. Radšej vyplň každú časť tým, čo fakticky existuje, aj keď to nie je externého certifikovaná celistvosť.

Kde tento vzťah vychádza: Príloha A a článok 21 ods. 2

ISO/IEC 27001 Príloha A popisuje kontrolné opatrenia, ktoré musí managementový systém pokrývať, a tieto opatrenia sa väčšinou prekrývajú s desiatimi kategóriami z článku 21 ods. 2 smernice NIS2. Kupujúci, ktorý sa pýta na certifikát, v podstate overuje, či tieto základné opatrenia existujú; certifikát je potvrdením treťou stranou, ale dotazník sám sa často pýta aj samostatne na časti ako napríklad politike prístupu a správe podnikových aktív alebo postupu spracúvania incidentov bezpečnosti. Bez certifikátu tá základná otázka zostáva, a stojí za odpoveď.