Je li poduzeće ISO 27001-certificirano?

Certificiranje ili samo primjena norme

Ovo pitanje pita o certifikatu, a ne o namjeri. "ISO 27001-certificirano" znači da je neovisna certificirajuća institucija provjerila poduzeće i izdala certifikat s rokom važenja i opisom opsega. Ako poduzeće radi prema normi, ali ga nikada nije nadzirao revizor, odgovor na ovo specifično pitanje je ne — čak i ako je sadržajna praksa možda slična. Ta nijansa je upravo ono što ovakve liste pitanja trebaju: ne "primjenjujemo li sigurnost informacija" već "je li to vanjski provjeren i potvrđen".

Ako nema certifikata, obično je dobar pristup jednostavno to prijaviti, eventualno s kratkim objašnjenjem onoga što postoji: politika sigurnosti informacija, analiza rizika ili mjere koje sadržajno odgovaraju normi bez formalne provjere. Mnogi kupci to prihvaćaju kao međuodgovor, pogotovo kad su temeljne mjere — kao politika za analizu rizika i zaštitu informacijskih sustava ili dogovori o kontroli pristupa i poslovnim sredstvima — u redu. Certifikat je tada dokaz koji nedostaje, ne praksa iza njega.

Prilog A kao praktična provjera

Osnova za ono što revizor provjerava nalazi se u Prilogu A norme ISO/IEC 27001: listi zaštitnih mjera koje norma propisuje, od kontrole pristupa do odnosa sa dobavljačima do upravljanja incidentima. Ta lista može se koristiti kao kontrolni popis i bez certifikata: tko može dokazati da su većina mjera iz Priloga A uvedene, može to navesti kao objašnjenje uz odgovor "ne" na pitanje o certificiranju. Sam certifikat, s opsegom i rokom važenja, ostaje jedini dokaz koji doslovno odgovara na pitanje sa "da".