Je podnik certifikován podle normy ISO 27001?

Certifikace nebo pouze norma uplatňována

Tato otázka se ptá na certifikát, ne na úmysl. "ISO 27001-certifikovaný" znamená, že nezávislý certifikační orgán podnik prověřil a vydal certifikát s datem platnosti a popisem rozsahu. Pokud podnik pracuje v souladu s normou, ale nikdy se nezúčastnil auditu, je odpověď na tuto konkrétní otázku ne — i když mohou být praktiky obsahově srovnatelné. Tato nuance je přesně tím, na co se takovéto seznamy ptají: ne "aplikujeme bezpečnost informací" ale "byla to externě prověřena a potvrzena".

Pokud neexistuje certifikát, je zvyklostí to jednoduše nahlásit, případně s krátkou poznámkou o tom, co se provádí: zásady bezpečnosti informací, analýza rizik, nebo opatření, která obsahově odpovídají normě bez formálního prověření. Mnoho odběratelů to akceptuje jako mezianswer, zejména pokud jsou základní opatření — jako jsou zásady pro analýzu rizik a zabezpečení informačních systémů nebo dohody o řízení přístupu a firemních prostředků — na místě. Certifikát je pak průkazem, který chybí, nikoli praxe za ním.

Příloha A jako praktický test

Zdůvodnění toho, co auditor prověřuje, najdete v příloze A normy ISO/IEC 27001: seznam opatření na ochranu, která norma předepisuje, od řízení přístupu přes vztahy s dodavateli až po řízení incidentů. Tento seznam je použitelný jako kontrolní seznam i bez certifikátu: kdo prokáže, že byla zavedena většina opatření z přílohy A, může to uvést jako vysvětlení k odpovědi "ne" na certifikační otázku. Certifikát sám, s rozsahem a datem platnosti, zůstává jediným důkazem, který odpověď doslova odpovídá "ano".