Onko yritys ISO 27001 -sertifioitu?

Sertifiointi vai vain standardin soveltaminen

Tämä kysymys koskee sertifikaattia, ei aikomusta. "ISO 27001 -sertifioitu" tarkoittaa, että riippumaton sertifiointielin on tarkistanut yrityksen ja myöntänyt sertifikaatin, jolla on voimassaoloaika ja soveltamisala. Jos yritys noudattaa standardia, mutta tilintarkastajaa ei ole koskaan käynyt, vastaus tähän erityiseen kysymykseen on ei — vaikka sisällöllinen käytäntö voisikin olla vertailukelpoinen. Juuri tämä vivahde on sellaisten kyselylomakkeiden tarkoitus: ei "harrastammeko tietoturvatyötä" vaan "onko sitä ulkopuolisesti tarkastettu ja vahvistettu".

Jos sertifikaattia ei ole, on tavallista ilmoittaa asiasta suoraan, mahdollisesti lyhyellä perustelulla siitä, mitä kyllä on olemassa: tietoturvapolitiikka, riskianalyysi tai toimenpiteet, jotka sisällöllisesti vastaavat standardia ilman muodollista tarkastusta. Monet ostajat hyväksyvät tämän välivastukseksi, varsinkin kun taustalla olevat toimenpiteet — kuten politiikka riskianalyysin ja tietojärjestelmien suojauksen osalta tai sopimukset pääsynhallinnasta ja omaisuudesta — ovat kunnossa. Sertifikaatti on silloin puuttuva todiste, ei sen takana oleva käytäntö.

Annex A käytännön testinä

Siitä, mitä tilintarkastaja tarkastaa, löytyy perusteet ISO/IEC 27001:n liitteestä A: luettelo hallintotoimenpiteistä, jotka standardi edellyttää, pääsynhallinnasta toimittajasuhteihin poikkeamanhallintaan. Tätä luetteloa voidaan käyttää tarkistuslistana myös ilman sertifikaattia: kuka voi osoittaa, että useimmat Annex A:n toimenpiteet on otettu käyttöön, voi liittää sen perusteluksi "ei"-vastaukseen sertifiointikysymyksessä. Itse sertifikaatti, jossa on soveltamisala ja voimassaoloaika, on ainoa todiste, joka vastaa kirjaimellisesti "kyllä".