Varför så många frågeformulär liknar ISO 27001
ISO 27001 är den mest använda standarden för informationssäkerhet, och dess bilaga A är en lista över kontroller grupperade i teman. När en kunds säkerhetsteam skriver ett frågeformulär är bilaga A checklistan de utgår från, även om frågeformuläret aldrig nämner ISO. Därför kommer frågorna i en igenkännbar ordning: policyer och organisation, personal, fysiskt, teknik.
Temana, och vad vart och ett frågar om
Organisatoriska kontroller. Har ni en informationssäkerhetspolicy, vem äger säkerheten, hur är rollerna definierade, hur hanterar ni leverantörer, hur klassificerar ni information, hur hanterar ni incidenter, hur planerar ni för kontinuitet, vilka är era rättsliga och avtalsmässiga skyldigheter. Det är den största gruppen och den där skrivna policyer betyder mest.
Personrelaterade kontroller. Bakgrundskontroll före anställning, anställningsvillkor, utbildning i säkerhetsmedvetenhet, disciplinär process, vad som händer när någon slutar, sekretessavtal, regler för distansarbete.
Fysiska kontroller. Säkra områden, tillträdeskontroll, skydd mot miljöhot, utrustningssäkerhet, rent skrivbord och tom skärm, säker avyttring. För ett molnbolag besvaras det mesta av detta av driftleverantörens certifiering, plus vad du gör kring bärbara datorer och kontor.
Tekniska kontroller. Slutanvändarenheter, privilegierad åtkomst, åtkomstbegränsning, autentisering, kapacitetshantering, skydd mot skadlig kod, sårbarhetshantering, loggning och övervakning, säkerhetskopiering, redundans, nätverkssäkerhet, kryptografi, säker utveckling, ändringshantering, testdata, kodgranskning.
Att svara med ett certifikat
Om du är certifierad besvarar certifikatet, dess omfattning och uttalandet om tillämplighet en stor del av varje ISO-format frågeformulär. Bifoga certifikatet, citera omfattningen ordagrant (granskare kontrollerar att tjänsten de köper ingår i den), och svara för varje tema utifrån uttalandet om tillämplighet: vilka kontroller som gäller, hur de är införda och vem som äger dem. Räkna med frågor om den senaste uppföljningsrevisionen och eventuella avvikelser.
Att svara utan
Du kan ändå besvara varje rad. Ange för varje kontroll om du har den, hur den är införd, vem som äger den och var underlaget finns; och för dem du inte har, säg det och vad du gör i stället eller när det är planerat. En leverantör med tydliga, ärliga svar och en plan klarar ofta kundens granskning; en leverantör med certifikat och vaga svar gör det ibland inte.
Behåll mappningen, inte frågeformulären
Samma kontroll i bilaga A kommer att efterfrågas i varje frågeformulär från och med nu, med olika ord. Håll ett godkänt svar per kontroll, med underlag och datum, och skriv utkastet till varje frågeformulär utifrån det. I Responsemate finns det svaret en gång i kunskapsbasen, med sin fil och sitt utgångsdatum, och varje frågeformulär får sitt utkast därifrån med källan visad på varje rad. Kunskap i Responsemate.
Vanliga frågor
Behöver vi ISO 27001-certifiering för att besvara ett ISO 27001-frågeformulär?
Nej. Frågeformuläret frågar om du har kontrollerna, inte om en revisor har kontrollerat dem. Ett certifikat låter dig besvara många rader med ”certifierade, se certifikatet och uttalandet om tillämplighet”; utan ett svarar du på varje rad på dess egna meriter.
Vad är uttalandet om tillämplighet?
Dokumentet i ett ISO 27001-system som listar varje kontroll i bilaga A och anger om den gäller dig och hur den är införd. Granskare som kan ISO ber om det eftersom det besvarar större delen av deras frågeformulär i ett enda dokument.