Je podnik certifikovaný ISO 27001?

Certifikácia alebo len aplikácia normy

Táto otázka sa pýta na certifikát, nie na úmysel. "ISO 27001-certifikovaný" znamená, že nezávislý certifikačný orgán podnik overil a vydal certifikát s dátumom platnosti a popisom rozsahu. Ak podnik pracuje v súlade s normou, ale audítor ho nikdy nenavštívil, odpoveď na túto konkrétnu otázku je nie — aj keď praktika v obsahu môže byť podobná. Práve táto nuancia je to, čo takéto zoznamy otázok vyžadujú: nie "venujeme sa bezpečnosti informácií", ale "bolo to externými prostriedkami overené a potvrdené".

Ak neexistuje certifikát, zvyčajne sa to jednoducho oznámi, prípadne s krátkym vysvetlením toho, čo sa naozaj robí: politika bezpečnosti informácií, analýza rizík alebo opatrenia, ktoré obsahovo súvisia s normou bez formálneho overovania. Mnoho odberáteľov to ako medziodpoveď akceptuje, najmä ak sú základné opatrenia — ako je politika pre analýza rizík a bezpečnosť informačných systémov alebo dohody o kontrole prístupu a podnikových aktívach — v poriadku. Certifikát je potom dokladom, ktorý chýba, nie praktika za ním.

Annex A ako praktický test

Odôvodnenie toho, čo audítor overuje, sa nachádza v prílohe A normy ISO/IEC 27001: zoznam bezpečnostných opatrení, ktoré norma predpisuje, od kontroly prístupu až po vzťahy s dodávateľmi až po riadenie incidentov. Tento zoznam je použiteľný aj ako kontrolný zoznam bez certifikátu: kto môže preukázať, že väčšina opatrení z prílohy A bola zavedená, môže to ako vysvetlenie pridať k odpovedi "nie" na otázku certifikácie. Samotný certifikát s rozsahom a dátumom platnosti zostáva jedinou náležitosťou, ktorá otázku doslova zodpovedá s "áno".