δεν έχουμε πιστοποίηση ISO, πώς απαντώ καλά στην ερώτηση

Η απουσία πιστοποίησης δεν είναι "όχι", αλλά μια άλλη τεκμηρίωση

Μην συμπληρώσετε αυτόματα "όχι" σε αυτήν την ερώτηση. Ένα πιστοποιητικό ISO 27001 είναι απόδειξη ενός ελεγκτή ότι το σύστημα διαχείρισης συμμορφώνεται με το πρότυπο — αλλά το υποκείμενο ερώτημα του πελάτη σας αφορά συνήθως τα ίδια τα μέτρα, όχι το έγγραφο. Εάν έχετε πολιτική για έλεγχο πρόσβασης, αντιμετώπιση περιστατικών, συνέχεια και άλλα στοιχεία του Παραρτήματος Α του ISO 27001, μπορείτε να το περιγράψετε χωρίς να διατυπώσετε πιστοποίηση. Απαντήστε επομένως στην ερώτηση σε δύο επίπεδα: πρώτα το γεγονός ("μη πιστοποιημένο"), στη συνέχεια η επεξήγηση ("πολιτική που ευθυγραμμίζεται με τα ακόλουθα στοιχεία"). Έτσι η απάντηση παραμένει αληθής και δίνει στον πελάτη κάτι χρήσιμο.

Στην πράξη, η ερωτηματολόγιο συνήθως το διαχωρίζει ήδη από μόνο του: μία ερώτηση για το πιστοποιητικό ISO 27001 ξεχωριστά, και μεμονωμένες ερωτήσεις για τα υποκείμενα μέτρα. Απαντήστε στα τελευταία ανάλογα με τα δικά τους χαρακτηριστικά — για παράδειγμα την ερώτηση σχετικά με την πολιτική πρόσβασης και τη διαχείριση των περιουσιακών στοιχείων της επιχείρησης ή σχετικά με ανάλυση κινδύνου και ασφάλεια συστημάτων πληροφοριών. Εάν για ένα συγκεκριμένο στοιχείο δεν έχετε έγγραφο, απαντήστε τότε "όχι" ή "εν μέρει" σε αυτό — όχι στη σύνολη λίστα γιατί λείπει το πιστοποιητικό. Ένα λείπον στοιχείο δεν χρειάζεται να μολύνει κάθε άλλη απάντηση.

Το Παράρτημα Α και το άρθρο 21 παράγραφος 2 ζητούν μέτρα, όχι πιστοποίηση

Το ISO/IEC 27001 αποτελείται από δύο μέρη: τις απαιτήσεις για το σύστημα διαχείρισης και το Παράρτημα Α με τα μέτρα ελέγχου (πρόσβαση, κρυπτογραφία, προμηθευτές, περιστατικά, συνέχεια και άλλα). Ένα πιστοποιητικό αποδεικνύει ότι ένας ελεγκτής εξέτασε το σύστημα· δεν είναι ο μόνος τρόπος για να δείξετε ότι τα μέτρα υπάρχουν. Επίσης, το άρθρο 21 παράγραφος 2 της οδηγίας NIS2, με τα δέκα υποχρεωτικά μέτρα, ρωτά τι κάνει ένας οργανισμός — όχι ποιο πιστοποιητικό έχει. Για τις περισσότερες ερωτηματολόγια, επομένως, ισχύει: η πολιτική και η επιδείξιμη πρακτική απαντούν στον πυρήνα της ερώτησης, ακόμη και χωρίς πιστοποίηση ISO.