Är företaget ISO 27001-certifierat?

Certifiering eller endast normen tillämpad

Denna fråga efterfrågar ett certifikat, inte en avsikt. "ISO 27001-certifierat" betyder att ett oberoende certifieringsorgan har granskat företaget och utfärdat ett certifikat, med ett giltighets­datum och en omfattnings­beskrivning. Om företaget följer normen men aldrig har besökts av en revisor, är svaret på denna specifika fråga nej — även om den faktiska praktiken kanske är jämförbar. Denna nyans är precis vad den här typen av frågeformulär fokuserar på: inte "tillämpar vi informationssäkerhet" utan "är det externt granskat och bekräftat".

Om det inte finns något certifikat är det vanligt att bara meddela det, eventuellt med en kort förklaring av vad som faktiskt finns: en informationssäkerhetspolicy, en riskanalys eller åtgärder som innehållsmässigt överensstämmer med normen utan den formella granskningen. Många avnämare accepterar det som ett mellanliggande svar, särskilt när de underliggande åtgärderna — såsom policyn för riskanalys och säkring av informationssystem eller överenskommelserna om åtkomststyming och affärsresurser — är på plats. Ett certifikat är då beviset som saknas, inte den praktik som ligger bakom.

Annex A som praktisk granskning

Underlaget för vad en revisor granskar finns i Annex A av ISO/IEC 27001: förteckningen över de styrande åtgärder som normen föreskriver, från åtkomststyming till leverantörsrelationer till incidenthantering. Denna förteckning är användbar som en checklista, även utan certifikat: den som kan påvisa att de flesta Annex A-åtgärderna har genomförts kan bifoga det som en förklaring till ett "nej" på certificeringsfrågan. Själva certifikatet, med omfattning och giltighets­datum, är fortfarande det enda bevis som bokstavligen svarar "ja" på frågan.