Ali je podjetje certificirano po ISO 27001?

Certifikacija ali samo uporaba standarda

To vprašanje se sprašuje o certifikatu, ne o nameri. "ISO 27001-certificirano" pomeni, da je neodvisna certifikacijska организacija podjetje preverila in izdala certifikat z datumom veljavnosti in opisom obsega. Če podjetje sicer deluje v skladu s standardom, vendar revizor nikoli ni obiskal, je odgovor na to specifično vprašanje ne — čeprav je lahko vsebinska praksa podobna. Prav ta razlika je tisto, kar ta vrsta vprašalnikov zahteva: ne "ali se ukvarjamo z varnostjo informacij" temveč "ali je to zunanje preverjeno in potrjeno".

Če certifikata ni, je običajno, da se to preprosto javi, po potrebi s kratkim pojasnilom, kaj drugega je v mestu: varnostna politika informacij, analiza tveganja ali ukrepi, ki vsebinsko ustrezajo standardu brez formalne revizije. Mnogi prejemniki to sprejmejo kot vmesni odgovor, še posebej, če so osnovne ukrepe — kot je politika za analizo tveganja in zaščito informacijskih sistemov ali dogovore o kontroli dostopa in poslovnih sredstvih — že na mestu. Certifikat je potem edini dokaz, ki manjka, ne praksa za tem.

Priloga A kot praktični test

Kaj revizor preverja, je opisano v Prilogi A standarda ISO/IEC 27001: seznam varnostnih ukrepov, ki jih standard predpisuje, od nadzora dostopa do odnosov s ponudniki do upravljanja incidentov. Ta seznam je uporaben tudi kot kontrolni seznam brez certifikata: kdor lahko dokaže, da je večino ukrepov iz Priloge A uvajal, lahko to navedena kot pojasnilo pri odgovoru "ne" na vprašanje o certificiranju. Certifikat sam, z obsegom in datumom veljavnosti, ostaja edini dokaz, ki natančno odgovarja na vprašanje z "da".