Ar įmonė yra ISO 27001 sertifikuota?

Sertifikavimas arba tik standarto taikymas

Šis klausimas klausia apie sertifikatą, o ne apie ketinimą. "ISO 27001-sertifikuota" reiškia, kad nepriklausoma sertifikavimo institucija įvertino įmonę ir išdavė sertifikatą su galiojimo data ir veiklos sritimi. Jei įmonė laikosi standarto, bet niekada nebuvo auditorės patikrinta, atsakymas į šį konkretų klausimą yra ne — net jei faktinė praktika gali būti panašia. Tai yra tiksliai ta niuansa, kurios siekia tokie klausimai: ne „ar mes taikoime informacijos saugą

Jei nėra sertifikato, įprastai tai tiesiog pranešti, gerinant reikalui reikalingą trumpą paaiškinimą apie tai, kas iš tikrųjų yra: informacijos saugumo politika, rizikos vertinimas arba priemonės, kurios iš esmės atitinka standartą be formalaus įvertinimo. Daugelis pirkėjų tai priima kaip tarpinį atsakymą, ypač kai pagrindinės priemonės — tokie kaip politika, rizikos vertinimas ir informacinių sistemų apsauga arba susitarimai apie prieigos kontrolė ir verslo ištekliai — jei viskas yra tvarkoje. Sertifikatas tada yra trūkstamas dokumento įrodymas, o ne jo pagrindą sudaranti praktika.

A priedas kaip praktinis testas

Auditorių tikrinamo dalyko pagrindimas yra ISO/IEC 27001 A priede: beheersmaatregelen sąrašas, kurį nustato norma, nuo prieigos kontrolės iki tiekėjų santykių iki incidento valdymo. Šis sąrašas gali būti naudojamas kaip kontrolinis sąrašas, netgi be sertifikato: tas, kuris gali įrodyti, kad dauguma A priedo priemonių buvo įdiegtos, gali tai pateikti kaip paaiškini iš prie „ne