emme ole ISO 27001 -sertifioituja, mutta teemme paljon turvallisuustyötä, mitä täytän

Ei-sertifikaatissa, kyllä-käytännössä voi molemmat olla totta

Kyllä, saa — edellyttäen että käsittelet sen erillään sertifikaattia koskevasta kysymyksestä. ISO 27001 -kysymys kysymyslistassa on yleensä suljettu kyllä/ei-muoto, joka koskee sertifikaatin omistamista. sertifikaattiJos sitä ei ole, "ei" on oikeasti oikea vastaus kyseiseen kysymykseen, eikä selvityksellä ole merkitystä. Mitä voi tehdä: monet kysymyslistat esittävät sertifikaattikysymyksen jälkeen tai rinnalla myös erillisiä kysymyksiä taustalla olevista toimenpiteistä — riskianalyysi, pääsynhallinta, poikkeamien käsittely. Vastaat niihin omien ansioitensa mukaan, omalla todisteellasi, sertifikaatista riippumatta.

Sekaannus syntyy siitä, että sertifiointi ja toimenpiteet koskettavat samaa sisältöä mutta eivät ole synonyymejä. Auditoija, joka käy läpi Liitettä A, ja yritys, jolla on "tavallisesti" toteutettu MFA, varmuuskopiot ja poikkeamaprosessi, voivat materiaalisti omata samat kontrollit — ero on siinä, että toinen on saanut riippumattoman tarkastuksen ja sertifikaatin, toinen ei. Ketendossiereissasi kirjaat siis kaksi erillistä vastausta: sertifikaattikysymykseen "ei", ja kysymykseen esimerkiksi monivaiheinen tunnistautuminen tai tietoturvapoikkeamien käsittelystä todellisen vastauksen yhdessä todisteen kanssa, joka siihen kuuluu — käytäntöasiakirja, kokoonpano-export, prosessikuvaus. Älä koskaan täytä toista toisen todisteeksi.

Liite A ja artikla 21 luku 2 ovat päällekkäisiä, mutta eivät korvattavissa keskenään

ISO/IEC 27001 Liite A kuvaa hallinnollisia toimenpiteitä, jotka sertifioidun hallintojärjestelmän on katettava; Direktiivi (EU) 2022/2555 artikla 21 luku 2 luettelee kymmenen toimenpidettä, jotka NIS2:n perusteella ovat pakollisia kyseisen direktiivin piiriin kuuluville tahoille. Molemmat listat mainitsevan riskienhallinnon, pääsynhallinnan, kryptografian ja poikkeamareagoinnan, mutta toinen on sertifiointinormi, jossa auditoija tarkastaa, toinen on lainsäädäntöä ilman sertifiointivaatimusta. "Ei" sertifikaatissa ei siis kerro mitään siitä, täyttyvätkö artiklan 21 luku 2 vaatimukset — se on erillinen kysymys, joka tulee merkitykselliseksi vasta kun vahvistetaan, kuuluuko yritys itse NIS2-direktiivin tai Kyberturvallisuuslain piiriin.