rendelkezik-e a vállalkozás ISO 27001 tanúsítvánnyal?

Tanúsítás vagy csak a norma alkalmazása

Ez a kérdés tanúsítványra vonatkozik, nem szándékra. Az "ISO 27001-tanúsított" azt jelenti, hogy egy független tanúsító szervezet ellenőrizte a vállalatot és tanúsítványt adott ki, érvényességi dátummal és hatókör-leírással. Ha a vállalatunk a norma szerint működik, de soha nem járt ott auditor, akkor az erre a konkrét kérdésre adott válasz nem — még akkor is, ha az alapvető gyakorlat talán összehasonlítható. Ez a nuancia pontosan az, amit az ilyen típusú kérdőívek megkérdeznek: nem azt, hogy "végzünk-e információbiztonsági tevékenységeket", hanem azt, hogy "ezt külsőleg ellenőrizték és megerősítették-e".

Ha nincs tanúsítvány, akkor szokásos, hogy ezt egyszerűen így jelentsék, szükség esetén egy rövid magyarázattal arra, hogy mi létezik: információbiztonsági politika, kockázatelemzés, vagy olyan intézkedések, amelyek tartalmilag összhangban vannak a normával a formális ellenőrzés nélkül. Sok megrendelő ezt köztes válaszként elfogadja, különösen akkor, ha az alapvető intézkedések — például a politika az információs rendszerek védelméhez szükséges — rendben vannak, vagy az egyezségek az hozzáférés-ellenőrzésről és az üzleti eszközökről — vagy az egyezségek az hozzáférés-ellenőrzésről és az üzleti eszközökről — jól vannak szabályozva. A tanúsítvány az a bizonyíték, amely hiányzik, nem az mögötte levő gyakorlat.

A Melléklet A mint gyakorlati teszt

Annak alapját, amit egy auditor ellenőriz, az ISO/IEC 27001 A. melléklete tartalmazza: a normában előírt ellenőrzési intézkedések listája, a hozzáférés-ellenőrzéstől a szállítói kapcsolatokig az incidenskezelésig. Ez a lista használható ellenőrzőlistént tanúsítvány nélkül is: aki képes igazolni, hogy a legtöbb A. melléklet szerinti intézkedést bevezették, ezt indoklásként mellékelve a "nem" válaszhoz a tanúsítási kérdésre. A tanúsítvány maga, hatókörrel és érvényességi dátummal, az egyetlen bizonyíték, amely szó szerinti "igen" válaszként teljesíti a kérdést.