emme ole ISO 27001 -sertifioituja, mitä kirjoitan kyselylomakkeeseen

Ilman sertifikaattia silti sisältöjen vastaaminen

Ilman ISO 27001 et täytä "ei" ja jätä sitä sikseen — vastaat pohjimmaiseen kysymykseen sisällöllisesti, jokaisen toimenpiteen osalta. Kyselylomake, joka kysyy sertifikaatista, haluaa tosiasiassa tietää, ovatko NIS2-direktiivin 21 artiklan 2 kappaleen kymmenen toimenpiidettä (riskianalyysi, poikkeamien käsittely, liiketoiminnan jatkuvuus, ketjun turvallisuus, haavoittuvuuksien hallinta, salausneuvolinjat, pääsynvalvonta, MFA ja muut) kunnossa. Sertifikaatti on yksi tapa osoittaa tämä, ei ainoa. Ilman sertifikaattia vastaat siis jokaisen toimenpiteen osalta, mitä sinulla on: politiikkaasiakirja, menettely, työkalu, sopimuksellinen sopimus toimittajan kanssa.

Käytännössä tämä tarkoittaa, että vastaat sertifikaattikysymykseen itseensä lyhyesti ja tosiasiallisesti — onko yritys ISO 27001 -sertifioitu? kuvaa, kuinka perustelet kyseisen kysymyksen ilman sertifikaattia — ja että et sitten ohita seurantakysymyksiä. Monet portaalit jakavat sertifikaatin ja taustalla olevat toimenpiteet erillisiin kysymyksiin; jos täytät vain "ei" sertifikaattikysymykseen ja jätät loput tyhjiksi, vastaanottajalta puuttuu täsmälleen tieto, jonka avulla hän tekee omansa riskinarviointia. Täytä mieluummin jokainen osa sillä, mikä tosiasiallisesti on olemassa, vaikka se ei olisi ulkoisesti tarkastettu kokonaisuus.

Mistä tämä yhteys johtuu: Annex A ja 21 artiklan 2 kappale

ISO/IEC 27001 Annex A kuvaa hallintotoimenpiteet, jotka hallintajärjestelmän on katettava, ja nämä toimenpiteet menevät pitkälti päällekkäin NIS2-direktiivin 21 artiklan 2 kappaleen kymmenen luokan kanssa. Vastaanottaja, joka kysyy sertifikaatista, tosiasiassa tarkastaa, ovatko ne taustalla olevat toimenpiteet olemassa; sertifikaatti on ulkoisen osapuolen vahvistus, mutta itse kyselylomake usein kysyy myös erillään osista kuten pääsynhallintaan ja yritysvarojen hallintaan tai tietoturvapoikkeamien menettely. Ilman sertifikaattia tuo taustalla oleva kysymys jää olemaan, ja se jää vastaamisen arvoiseksi.