Che differenza c’è tra una certificazione e un rapporto di attestazione?

Una certificazione è la decisione di un organismo accreditato che Lei rispetta una norma, documentata in un certificato; un rapporto di attestazione è il giudizio di un revisore sui Suoi controlli, con il dettaglio di ciò che è stato verificato. La ISO/IEC 27001 funziona per certificazione: un organismo di certificazione accreditato verifica il sistema di gestione, rilascia un certificato per un perimetro definito e continua a controllarlo con audit di sorveglianza fino alla ricertificazione. Il SOCSOC: security operations centre (centro operativo di sicurezza). Un team, spesso attivo 24 ore su 24, che individua gli attacchi e risponde. 2 funziona per attestazione: un revisore indipendente verifica i controlli rispetto a criteri e redige un rapporto con il proprio giudizio e le eventuali eccezioni, che Lei condivide sotto accordo di riservatezza. In pratica un certificato è facile da verificare e confrontare ma dice poco dei dettagli; un rapporto dice molto di più ma va letto, compresi perimetro, periodo, eccezioni e controlli che spettano a Lei. Entrambi valgono solo se il loro perimetro riguarda il servizio che acquista. Diffidi dei fornitori che presentano un’autovalutazione, una policy o una verifica di preparazione di un consulente come l’uno o l’altro. NetSenX oggi non ha né l’uno né l’altro; SOC 2 Type I e ISO/IEC 42001 sono in preparazione.

← Tutte le 15 domande su Standard di sicurezza: ISO 27001, SOC 2Tutti i temi