Hvorfor så mange spørreskjemaer ligner ISO 27001
ISO 27001 er den mest brukte standarden for informasjonssikkerhet, og vedlegg A er en liste over kontroller gruppert i temaer. Når sikkerhetsteamet hos en kunde skriver et spørreskjema, er vedlegg A sjekklisten de starter fra, selv om spørreskjemaet aldri nevner ISO. Derfor kommer spørsmålene i en gjenkjennelig rekkefølge: policyer og organisasjon, mennesker, fysisk, teknologi.
Temaene, og hva hvert av dem spør om
Organisatoriske kontroller. Har dere en informasjonssikkerhetspolicy, hvem eier sikkerheten, hvordan er rollene definert, hvordan styrer dere leverandører, hvordan klassifiserer dere informasjon, hvordan håndterer dere hendelser, hvordan planlegger dere for kontinuitet, hva er de juridiske og kontraktsmessige forpliktelsene deres. Dette er den største gruppen og den der skriftlige policyer betyr mest.
Personkontroller. Bakgrunnssjekk før ansettelse, ansettelsesvilkår, opplæring i sikkerhetsbevissthet, disiplinærprosess, hva som skjer når noen slutter, taushetserklæringer, regler for fjernarbeid.
Fysiske kontroller. Sikre områder, adgangskontroll, beskyttelse mot miljøtrusler, utstyrssikkerhet, ryddig skrivebord og låst skjerm, sikker kassering. For et skyselskap besvares det meste av dette av driftsleverandørens sertifisering, pluss det du gjør med bærbare maskiner og kontorer.
Teknologiske kontroller. Endepunktenheter, privilegert tilgang, tilgangsbegrensning, autentisering, kapasitetsstyring, beskyttelse mot skadevare, sårbarhetshåndtering, logging og overvåking, sikkerhetskopiering, redundans, nettverkssikkerhet, kryptografi, sikker utvikling, endringsstyring, testdata, kodegjennomgang.
Å svare med et sertifikat
Er du sertifisert, besvarer sertifikatet, omfanget og erklæringen om anvendelse en stor del av ethvert ISO-formet spørreskjema. Legg ved sertifikatet, siter omfanget ordrett (vurderere sjekker at tjenesten de kjøper er innenfor), og svar for hvert tema fra erklæringen om anvendelse: hvilke kontroller som gjelder, hvordan de er innført, og hvem som eier dem. Regn med spørsmål om siste oppfølgingsrevisjon og eventuelle avvik.
Å svare uten
Du kan fortsatt svare på hver rad. Si for hver kontroll om du har den, hvordan den er innført, hvem som eier den og hvor dokumentasjonen ligger; og for dem du ikke har, si det, og hva du gjør i stedet eller når det er planlagt. En leverandør med klare, ærlige svar og en plan går ofte gjennom kundens vurdering; en leverandør med sertifikat og vage svar gjør det noen ganger ikke.
Behold mappingen, ikke spørreskjemaene
Den samme kontrollen i vedlegg A blir spurt om i hvert spørreskjema fra nå av, med forskjellige ord. Behold ett godkjent svar per kontroll, med dokumentasjon og dato, og lag utkast til hvert spørreskjema fra det. I Responsemate ligger det svaret én gang i kunnskapsbasen, med filen og utløpsdatoen sin, og hvert spørreskjema får utkast fra det med kilden vist på hver rad. Kunnskap i Responsemate.
Vanlige spørsmål
Trenger vi ISO 27001-sertifisering for å besvare et ISO 27001-spørreskjema?
Nei. Spørreskjemaet spør om dere har kontrollene, ikke om en revisor har sjekket dem. Et sertifikat lar deg svare på mange rader med «sertifisert, se sertifikatet og erklæringen om anvendelse»; uten ett svarer du på hver rad for seg.
Hva er erklæringen om anvendelse?
Dokumentet i et ISO 27001-system som lister hver kontroll i vedlegg A og sier om den gjelder for deg og hvordan den er innført. Vurderere som kjenner ISO ber om det fordi det besvarer det meste av spørreskjemaet deres i ett dokument.