Е ли предприятието сертифицирано по ISO 27001?

Сертификация или само прилагане на стандарта

Този въпрос пита за сертификат, а не за намерение. "ISO 27001-сертифицирана" означава, че независимо сертификационно тяло е проверило компанията и е издало сертификат с дата на валидност и описание на обхвата. Ако компанията работи в съответствие със стандарта, но никога не е била проверена от одитор, отговорът на този конкретен въпрос е не — дори ако практическата дейност е може би сравнима. Именно този нюанс е това, което olyan въпросници искат: не "занимаваме ли се с информационна безопасност", а "е ли това външно проверено и потвърдено".

Ако няма сертификат, то обичайно е да се съобщи просто така, евентуално с кратко обяснение на това, което наистина съществува: политика за информационна безопасност, анализ на риска или мерки, които съдържателно съответстват на стандарта без формална проверка. Много получатели приемат това като междинен отговор, особено когато основните мерки — като политиката за анализ на риска и защита на информационните системи или договореностите относно контрол на достъпа и корпоративни активи — са в ред. Сертификатът е тогава доказателството, което липсва, а не практиката зад него.

Приложение А като практически тест

Основата за това, което одиторът проверява, се намира в Приложение А на ISO/IEC 27001: списъкът със защитни мерки, които стандартът предписва, от контрол на достъпа до взаимоотношения със снабдители до управление на инциденти. Този списък е полезен като контролен лист и без сертификат: всеки, който може да докаже, че повечето мерки от Приложение А са въведени, може да предостави това като обяснение при отговор "не" на въпроса за сертификация. Самият сертификат, със своя обхват и дата на валидност, остава единственото доказателство, което буквално отговаря на въпроса с "да".