Είναι η επιχείρηση ISO 27001-πιστοποιημένη;

Πιστοποίηση ή μόνο το πρότυπο εφαρμοσμένο

Αυτή η ερώτηση αναζητά ένα πιστοποιητικό, όχι μια πρόθεση. "ISO 27001-πιστοποιημένη" σημαίνει ότι ένα ανεξάρτητο όργανο πιστοποίησης έχει αξιολογήσει την επιχείρηση και έχει εκδώσει ένα πιστοποιητικό, με ημερομηνία ισχύος και περιγραφή της εμβέλειας. Εάν η επιχείρηση λειτουργεί σύμφωνα με το πρότυπο, αλλά δεν έχει ποτέ επισκεφθεί ένας ελεγκτής, τότε η απάντηση σε αυτή τη συγκεκριμένη ερώτηση είναι όχι — ακόμη και αν η ουσιαστική πρακτική ίσως είναι συγκρίσιμη. Αυτή η λεπτομέρεια είναι ακριβώς αυτό που ζητούν αυτοί οι τύποι ερωτηματολογίων: όχι "κάνουμε ασφάλεια πληροφοριών" αλλά "έχει εξωτερικά αξιολογηθεί και επιβεβαιωθεί".

Εάν δεν υπάρχει πιστοποιητικό, είναι συνηθισμένο να το αναφέρετε ως έχει, ενδεχομένως με μια σύντομη εξήγηση για το τι υπάρχει πράγματι: μια πολιτική ασφάλειας πληροφοριών, μια ανάλυση κινδύνου, ή μέτρα που ουσιαστικά ευθυγραμμίζονται με το πρότυπο χωρίς την τυπική αξιολόγηση. Πολλοί αγοραστές δέχονται αυτό ως ενδιάμεση απάντηση, ειδικά όταν τα υποκείμενα μέτρα — όπως η πολιτική για ανάλυση κινδύνου και η προστασία των συστημάτων πληροφοριών ή οι συμφωνίες για έλεγχος πρόσβασης και επιχειρηματικές πηγές — είναι σε τάξη. Ένα πιστοποιητικό είναι τότε το αποδεικτικό στοιχείο που λείπει, όχι η πρακτική πίσω του.

Annex A ως πρακτική δοκιμή

Η αιτιολόγηση για το τι αξιολογεί ένας ελεγκτής, βρίσκεται στο Annex A του ISO/IEC 27001: η λίστα των ελεγκτικών μέτρων που προγράφει το πρότυπο, από έλεγχο πρόσβασης έως σχέσεις προμηθευτών έως διαχείριση συμβάντων. Αυτή η λίστα είναι χρήσιμη ως λίστα ελέγχου, ακόμη και χωρίς πιστοποιητικό: όποιος μπορεί να αποδείξει ότι τα περισσότερα μέτρα Annex A έχουν υλοποιηθεί, μπορεί να το προσθέσει ως εξήγηση σε μια "όχι" απάντηση στο ερώτημα πιστοποίησης. Το ίδιο το πιστοποιητικό, με εμβέλεια και ημερομηνία ισχύος, παραμένει το μόνο αποδεικτικό στοιχείο που απαντά κυριολεκτικά στην ερώτηση με "ναι".