nincs ISO tanúsítványunk, hogyan válaszoljak ennek ellenére helyesen erre a kérdésre

Nincs tanúsítvány nem jelent "nem"-et, hanem más indokolást

Ne töltse ki automatikusan a "nem" válaszlehetőséget erre a kérdésre. Az ISO 27001 tanúsítvány egy auditor által nyújtott bizonyíték arra, hogy a menedzsmentrendszer megfelel a szabványnak — de az ügyfele mögöttes kérdése általában magára a intézkedésekre vonatkozik, nem az iratokra. Ha van hozzáférés-vezérlésre, incidensmegoldásra, üzletmenet-folytonossságra és az ISO 27001 A mellékletének egyéb összetevőire vonatkozó irányelvét, akkor ezt tanúsítvány nélkül is leírhatja. Válaszolja meg tehát a kérdést két szinten: először a tény ("nem tanúsított"), majd az indoklás ("van olyan irányelvünk, amely megfelel az alábbi összetevőknek"). Így az válasz továbbra is igaz marad, és az ügyfél számára is hasznos információt ad.

A gyakorlatban a kérdőív általában ezt maga már szétválasztja: egy kérdés az szervezet ISO 27001-tanúsítványa önálló megválaszolásáról, és külön kérdések az alapul szolgáló intézkedésekről. Válaszolja meg azokat a saját erényeik alapján — például a hozzáférésszabályozásra és az üzleti eszközök kezelésére vonatkozó kérdést vagy az kockázatelemzés és információs rendszerek biztonsága. Ha egy adott részhez nincs dokumentumod, akkor erre "nem"-mel vagy "részben"-nel válaszolj — nem az egész listára egyszerre, mert hiányzik a tanúsítvány. Egy hiányzó rész nem szabad, hogy elrontson minden más választ.

A. melléklet és a 21. cikk 2. bekezdés intézkedéseket kér, nem tanúsítványt

Az ISO/IEC 27001 két részből áll: a vezetési rendszerre vonatkozó követelményekből és az A. mellékletből, amely a felügyeleti intézkedéseket tartalmazza (hozzáférés, kriptográfia, beszállítók, incidensek, folytonosság és így tovább). A tanúsítvány azt mutatja, hogy egy auditor tesztelte a rendszert; ez nem az egyetlen módja annak, hogy kimutassa az intézkedések meglétét. A NIS2-irányelv 21. cikk 2. bekezdése is — a tíz kötelező intézkedéssel — arra kérdez rá, hogy egy szervezet mit csinál — nem arra, hogy milyen tanúsítványa van. A legtöbb kérdőív esetében tehát a politika és az igazolható gyakorlat választ ad a kérdés magvára, ISO-tanúsítvány nélkül is.