¿Qué diferencia hay entre una certificación y un informe de atestación?

Una certificación es la decisión de un organismo acreditado de que usted cumple una norma, plasmada en un certificado; un informe de atestación es la opinión de un auditor sobre sus controles, con el detalle de lo que se probó. La ISO/IEC 27001 funciona por certificación: un organismo de certificación acreditado audita su sistema de gestión, emite un certificado para un alcance definido y sigue comprobándolo con auditorías de seguimiento hasta la recertificación. SOCSOC: security operations centre (centro de operaciones de seguridad). Un equipo, a menudo activo las 24 horas, que vigila los ataques y responde a ellos. 2 funciona por atestación: un auditor independiente prueba sus controles frente a unos criterios y redacta un informe con su opinión y las excepciones, que usted comparte bajo un acuerdo de confidencialidad. En la práctica, un certificado es fácil de verificar y comparar pero dice poco del detalle; un informe dice mucho más, pero hay que leerlo, incluidos su alcance, periodo, excepciones y los controles que le corresponde aplicar a usted. Ambos solo sirven si su alcance coincide con el servicio que compra. Desconfíe de los proveedores que presentan una autoevaluación, una política o una revisión de preparación de un consultor como una cosa u otra. NetSenX no tiene hoy ninguno de los dos; el SOC 2 Tipo I y la ISO/IEC 42001 están en preparación.

← Las 15 preguntas sobre Normas de seguridad: ISO 27001, SOC 2Todos los temas