A empresa tem certificação ISO 27001?

Certificação ou apenas a norma aplicada

Esta questão interroga sobre um certificado, não sobre uma intenção. "ISO 27001-certificada" significa que uma entidade certificadora independente avaliou a empresa e emitiu um certificado, com uma data de validade e uma descrição do escopo. Se a empresa funciona de acordo com a norma, mas nunca foi auditada, a resposta a esta questão específica é não — mesmo que a prática substantiva seja porventura comparável. Esta nuança é precisamente o que este tipo de questionários visa: não "cumprimos com a segurança da informação" mas "isso foi avaliado externamente e confirmado".

Se não existe certificado, é prática comum comunicar simplesmente isso, eventualmente com uma breve explicação sobre o que existe: uma política de segurança da informação, uma análise de riscos, ou medidas que sejam substantivamente conformes com a norma sem a avaliação formal. Muitos adquirentes aceitam isso como resposta intermédias, especialmente quando as medidas subjacentes — como a política para análise de riscos e proteção de sistemas de informação ou os acordos sobre controlo de acesso e ativos da empresa — estão em ordem. Um certificado é então o comprovante que falta, não a prática por trás dele.

Anexo A como teste prático

O fundamento do que um auditor avalia encontra-se no Anexo A da ISO/IEC 27001: a lista de medidas de controlo que a norma prescreve, desde o controlo de acesso às relações com fornecedores até à gestão de incidentes. Esta lista é utilizável como lista de verificação, mesmo sem certificado: quem puder demonstrar que a maioria das medidas do Anexo A foi implementada, pode incluir isso como explicação numa resposta "não" à questão de certificação. O próprio certificado, com escopo e data de validade, permanece o único comprovante que responde literalmente "sim" à questão.