me ei ole ISO 27001 sertifitseeritud, kuid teeme turbes palju tööd, mida ma kirjutan

Ei sertifikaadil, jah praktikas võib mõlemad olla tõesed

Jah, see on lubatud — kuid sa pead seda käsitlema eraldi sertifikaadi enda kohta esitatud küsimusest. ISO 27001 küsimus küsimustikus on tavaliselt suletud jah/ei sertifikaadi omamise kohta. sertifikaat. Kui sul seda pole, siis on "ei" materiaalselt õige vastus sellele konkreetsele küsimusele, ja selgitus sellele ei aita. Mis on võimalik: paljud küsimustikud esitavad pärast või kõrvuti sertifikaadi küsimusega ka eraldi küsimusi aluseks olevate meetmete kohta — riskianalüüs, juurdepääsukontroll, intsidendikäsitlus. Nendele vastaksid sa nende omaette põhimõtete alusel, nende omaette tõenditega, sõltumata sertifikaadist.

Segadus tekib, sest sertifitseerimine ja meetmed puudutavad sama sisu, kuid pole sünonüümid. Auditor, kes läbib Annexi A, ja ettevõte, millel on lihtsalt MFA, varukoopiad ja intsidendikäsitlemise protsess, võivad materiaalselt samasuguseid kontrolle omada — erinevus seisneb selles, et ühe puhul on sõltumatu kontroll ja sertifikaat, teise puhul mitte. Ketendossieesse kirjutad sa seega kaks eraldi vastust: sertifikaadi küsimuse juures "ei" ja küsimuse juures näiteks mitmefaktoriga autentimine või turvaintsidentide käsitlemine tegeliku vastuse ja tõendiga, mis sul selle jaoks on — poliitikadokument, konfiguratsiooni-eksport, protsessi kirjeldus. Ärge kunagi sisestage ühte tõendiks teisele.

Annex A ja artikkel 21 lõige 2 kattuvad, kuid pole üksteist asendavad

ISO/IEC 27001 Annex A kirjeldab kontrollmeetmeid, mida peavad katma sertifitseeritud juhtimissüsteem; Direktiiv (EL) 2022/2555 artikkel 21 lõige 2 nimetab kümmet meetmet, mis on kohustuslikud NIS2 alusel sellele direktiivile alluvate üksuste jaoks. Mõlemad loendid mainivad riskijuhtimist, juurdepääsu, krüptograafiat ja intsidentreageeringut, kuid üks on sertifitseerimisstandard auditoriga, kes kontrollib, teine on seadusandlus ilma sertifitseerimiskohustuseta. "Ei" sertifikaadil ei ütle seega midagi selle kohta, kas keegi täidab artikli 21 lõike 2 nõudeid — see on eraldi küsimus, mis muutub asjakohaseks alles siis, kui on teada, kas ettevõte ise kuulub NIS2-direktiivi või Küberturvalisuse seaduse alla.