nie mamy certyfikacji ISO 27001, co wpisuję w listę kontrolną

Bez certyfikatu odpowiadaj jednak merytorycznie

Bez ISO 27001 nie wpisujesz "nie" i nie zatrzymujesz się na tym — odpowiadasz na pytanie bazowe merytorycznie, dla każdego wariantu. Kwestionariusz pytający o certyfikat chce właściwie wiedzieć, czy dziesięć środków z artykułu 21 ust. 2 dyrektywy NIS2 (analiza ryzyka, postępowanie w razie incydentu, ciągłość działalności, bezpieczeństwo łańcucha dostaw, zarządzanie lukami w zabezpieczeniach, polityka kryptografii, zarządzanie dostępem, MFA i reszta) są w porządku. Certyfikat to jeden sposób na wykazanie tego, ale nie jedyny. Bez certyfikatu odpowiadasz więc dla każdego środka, co faktycznie posiadasz: dokument polityki, procedurę, narzędzie, umowną umowę z dostawcą.

W praktyce oznacza to, że pytanie o sam certyfikat odpowiadasz krótko i faktycznie — czy przedsiębiorstwo ma certyfikat ISO 27001? opisujesz, jak uzasadniasz to konkretne pytanie bez certyfikatu — i wtedy nie pomijasz pytań następczych. Wiele portali dzieli certyfikat i środki bazowe na osobne pytania; jeśli wpiszesz tylko "nie" przy certyfikacie i resztę zostawisz pustą, odbiorcy brakuje dokładnie informacji, na podstawie której dokonuje własnej oceny ryzyka. Lepiej wypełnij każdą część tym, co faktycznie istnieje, nawet jeśli nie jest to całość poddane zewnętrznej ocenie.

Gdzie to wynika: Załącznik A i artykuł 21 ust. 2

ISO/IEC 27001 Załącznik A opisuje środki kontroli, które musi obejmować system zarządzania, a te środki w dużej mierze pokrywają się z dziesięcioma kategoriami z artykułu 21 ust. 2 dyrektywy NIS2. Odbiorca żądający certyfikatu faktycznie weryfikuje, czy te podstawowe środki istnieją; certyfikat jest potwierdzeniem przez stronę trzecią, ale sama lista pytań często pytuje również niezależnie o elementy takie jak polityki dostępu i zarządzania zasobami przedsiębiorstwa lub procedury obsługi incydentów bezpieczeństwaBez certyfikatu ta podstawowa kwestia pozostaje, i zasługuje ona na odpowiedź.