meil pole ISO sertifikaati, kuidas ma siiski selle küsimuse hea meelega vastatan

Sertifikaadi puudumine ei ole "ei", vaid muu põhjendus

Ärge täitke selle küsimuse jaoks automaatselt "ei". ISO 27001 sertifikaat on auditori tõend, et juhtimissüsteem vastab standardile — kuid teie kliendi aluseks olev küsimus käsitleb tavaliselt pigem ise meetmeid, mitte paberit. Kui teil on juurdepääsukontrolli, juhtumite lahendamise, järjepidevuse ja muude ISO 27001 lisa A osade poliitika, saate seda kirjeldada ilma sertifikaati nõudmata. Vastake küsimusele seega kahes kihis: esiteks fakt ("sertifitseerimata"), seejärel selgitus ("omavad poliitikaid, mis vastavad järgmistele osadele"). Sel moel jääb vastus tõeseks ja pakub kliendile siiski midagi kasulikku.

Praktikas jagab küsimustik seda tavaliselt juba ise: üks küsimus organisatsiooni ISO 27001-sertifikaat eraldi, ja üksikud küsimused alusmaatmete kohta. Vastake viimastele nende omaenda põhimõtete alusel — näiteks küsimused juurdepääsupoliitika ja ärivarade haldamise kohta või küsimused riskianalüüsist ja infosüsteemide kaitse kohta. Kui teil ei ole konkreetse osa jaoks dokumenti, vastake seal "ei" või "osaliselt" — mitte kogu loendile korraga, sest sertifikaat puudub. Ühe puuduoleva osa pärast ei pea iga teine vastus kannatama.

Lisa A ja artikkel 21 lõige 2 nõuavad meetmeid, mitte sertifikaati

ISO/IEC 27001 koosneb kahest osast: juhtimissüsteemi nõuetest ja Lisa A-st koos kaitsemeetmetega (juurdepääs, krüptograafia, tarnijad, juhtumid, järjepidevus jne). Sertifikaat näitab, et auditor on süsteemi kontrollitud; see ei ole ainus viis näidata, et meetmed on olemas. Samuti küsib NIS2 direktiivi artikkel 21 lõige 2 koos kümne kohustusliku meetmega, mida organisatsioon teeb — mitte seda, millisel sertifikaadil tal on. Seetõttu kehtib enamikule küsimustikele: poliitika ja tõestatav praktika vastavad küsimuse tuumale, isegi ilma ISO sertifikaadita.