Er virksomheden ISO 27001-certificeret?

Certificering eller kun normens anvendelse

Dette spørgsmål spørger efter et certifikat, ikke efter en hensigt. "ISO 27001-certificeret" betyder, at en uafhængig certificeringsorgan har vurderet virksomheden og udstedt et certifikat med en gyldighedsdato og en scope-beskrivelse. Hvis virksomheden arbejder efter normen, men aldrig har været til revision af en revisor, er svaret på dette specifikke spørgsmål nej — selv om den praktiske tilgang måske er sammenlignelig. Denne nuance er præcis det, som sådanne spørgeskemaer spørger efter: ikke "udfører vi informationssikkerhed" men "er det eksternt vurderet og bekræftet".

Hvis der ikke er noget certifikat, er det almindeligt blot at rapportere det sådan, eventuelt med en kort forklaring på hvad der ellers er til stede: en informationssikkerhedspolitik, en risikovurdering eller foranstaltninger, der indholdsligt stemmer overens med normen uden den formelle vurdering. Mange kunder accepterer det som et middelmådig svar, især når de underliggende foranstaltninger — såsom politikken for risikovurdering og beskyttelse af informationssystemer eller aftaler om adgangskontrol og forretningsaktiver — er i orden. Et certifikat er derefter det bevis, der mangler, ikke praksis bag det.

Annex A som praktisk test

Grundlaget for hvad en revisor vurderer, er indeholdt i Annex A i ISO/IEC 27001: listen over kontrolforanstaltninger, som normen foreskriver, fra adgangskontrol til leverandørforhold til hændelseshåndtering. Denne liste kan bruges som checklist, også uden certifikat: den, der kan dokumentere, at de fleste Annex A-foranstaltninger er implementeret, kan vedlægge det som forklaring til et "nej" på certificeringsspørgsmålet. Selve certifikatet, med scope og gyldighedsdato, forbliver det eneste bevis, der bogstaveligt besvarer spørgsmålet med "ja".