Czym różni się certyfikacja od raportu poświadczającego?

Certyfikacja to rozstrzygnięcie akredytowanej jednostki typu „spełnia albo nie spełnia”, że organizacja odpowiada normie, potwierdzone certyfikatem; raport poświadczający to opinia audytora o zabezpieczeniach wraz ze szczegółami tego, co przetestowano. ISO/IEC 27001 działa przez certyfikację: akredytowana jednostka certyfikująca audytuje system zarządzania, wydaje certyfikat dla określonego zakresu i dalej sprawdza go w audytach nadzoru aż do recertyfikacji. SOCSOC: security operations centre (centrum operacji bezpieczeństwa). Zespół, często pracujący całą dobę, który wypatruje ataków i na nie reaguje. 2 działa przez poświadczenie: niezależny audytor testuje zabezpieczenia względem kryteriów i pisze raport z opinią i ewentualnymi odstępstwami, który udostępniasz na podstawie umowy o poufności. W praktyce certyfikat łatwo zweryfikować i porównać, ale mówi niewiele o szczegółach; raport mówi znacznie więcej, ale trzeba go przeczytać, łącznie z zakresem, okresem, odstępstwami i zabezpieczeniami, które musisz stosować sam. Oba są tyle warte, na ile ich zakres dotyczy kupowanej usługi. Uważaj na dostawców, którzy samoocenę, politykę albo przegląd gotowości wykonany przez konsultanta przedstawiają jako jedno lub drugie. NetSenX nie ma dziś żadnego z nich; trwa przygotowanie do SOC 2 Type I i ISO/IEC 42001.

← Wszystkie pytania (15): Normy bezpieczeństwa: ISO 27001, SOC 2Wszystkie tematy