Bằng chứng mà khách hàng của bạn yêu cầu trước khi ký hợp đồng

Phụ lục A đã được tái cấu trúc từ 114 xuống còn 93 biện pháp, được sắp xếp thành bốn chủ đề thay vì mười bốn, và bổ sung thêm mười một biện pháp mới — bao gồm Threat Intelligence, an ninh đám mây, Data Leakage Prevention và lập trình an toàn. Ai đã xây dựng theo phiên bản cũ thì cần một bản ánh xạ, không cần bắt đầu lại từ đầu.

Tài liệu trung tâm của tiêu chuẩn: một danh sách tất cả các biện pháp Phụ lục A cùng với quyết định của bạn về việc biện pháp đó có áp dụng hay không, cách thực hiện và lý do loại trừ nếu có. Các kiểm toán viên hầu như luôn bắt đầu từ đây.

NIS2 là luật, ISO 27001 là một tiêu chuẩn. Một ISMS được chứng nhận không tự động đáp ứng NIS2, nhưng bao phủ một phần đáng kể các biện pháp quản lý rủi ro được yêu cầu và cung cấp cấu trúc bằng chứng mà các cơ quan giám sát mong đợi.

Thông thường, nó rút ngắn đáng kể quá trình này. Nhiều quy trình mua sắm chấp nhận chứng chỉ cùng với tuyên bố về khả năng áp dụng thay vì một bộ câu hỏi có đến hàng trăm câu.

Chỉ từ 179 € mỗi tháng, đã bao gồm chuẩn bị, đánh giá, chứng chỉ và các cuộc đánh giá giám sát. Theo cách truyền thống, tổng chi phí cho một doanh nghiệp vừa và nhỏ trong chu kỳ đầu tiên thường cao hơn đáng kể, vì chi phí tư vấn, tổ chức chứng nhận và công sức nội bộ phát sinh riêng biệt. Công cụ tính chi phí sẽ cho bạn thấy sự khác biệt phù hợp với quy mô của bạn.

Khi xây dựng từ đầu, thực tế mất từ sáu đến tám tuần; nếu đã có ISMS đang vận hành thì thời gian ngắn hơn nhiều, trong trường hợp chuyển đổi có thể xuống tới 48 giờ nếu việc đánh giá rủi ro và các biện pháp đã được thực hiện thường xuyên. Điểm nghẽn hầu như luôn là việc đánh giá rủi ro, chứ không phải cuộc đánh giá.

Không. Bạn phải quyết định có cơ sở cho từng biện pháp xem nó có áp dụng được hay không. Việc loại trừ phải có lý do rõ ràng — đó chính là mục đích của Tuyên bố về khả năng áp dụng.

Một bản ánh xạ (mapping) sang cấu trúc năm 2022, đánh giá mười một biện pháp mới và điều chỉnh Tuyên bố về khả năng áp dụng. Không cần xây dựng lại từ đầu. Chỉ cần tải các tài liệu hiện có của bạn lên nền tảng của chúng tôi và chỉnh sửa các đề xuất từ AI.

Không. NIS2 là luật và ở một số điểm còn vượt xa hơn, bao gồm nghĩa vụ báo cáo và trách nhiệm cá nhân của ban lãnh đạo. Tuy nhiên, một ISMS đáp ứng phần lớn các biện pháp được yêu cầu và cung cấp cấu trúc bằng chứng cần thiết.

Có. Điều quan trọng là bạn phải quản lý các nhà cung cấp của mình và việc phân chia trách nhiệm phải được lập thành văn bản.

Chúng tôi cũng chứng nhận cho các tổ chức có dưới mười nhân viên. Khối lượng công việc tỷ lệ theo mức độ phức tạp, chứ không chỉ theo số lượng nhân sự.

Đây không phải là tiêu chí loại trừ. Điều được kiểm tra là liệu bạn đã nhận diện, xử lý và học hỏi từ đó chưa. Chính vì mục đích đó mà hệ thống này tồn tại. Ở đây điều quan trọng là làm cho việc cải tiến liên tục trở nên rõ ràng.

Chứng chỉ của bạn được cấp bởi tổ chức quốc gia chịu trách nhiệm cho thị trường của bạn; bạn sẽ biết trạng thái của tổ chức đó trước khi ký hợp đồng. Đối với ISO/IEC 27001, việc công nhận chỉ bắt buộc trong một số lĩnh vực được quy định pháp lý riêng — nếu điều này áp dụng với bạn, chúng tôi sẽ cho bạn biết trong buổi tư vấn đầu tiên. Về nguyên tắc: cùng một tiêu chuẩn được kiểm tra theo cùng một thước đo, và các bên mời thầu công phải chấp nhận các bằng chứng tương đương. Tất cả thông tin về điều này tại .

Chỉ khi ISMS của bạn đã hoạt động: đánh giá rủi ro, Bản công bố áp dụng và các biện pháp Phụ lục A đã chọn phải có sẵn và được thực hiện trong thực tế. Khi chuyển đổi từ một tổ chức chứng nhận khác, điều này thường xảy ra, còn khi xây dựng mới thì hầu như không. Chúng tôi sẽ cho bạn biết trong Kiểm tra nhanh, trước khi bạn đặt lịch.

Đây chính là điểm quan trọng. ISMS của bạn tồn tại trên nền tảng: Bản công bố áp dụng, rủi ro, biện pháp và sự cố được quản lý tại đó, AI của chúng tôi hiển thị các sai lệch và nhắc nhở về chu kỳ đánh giá. Một ISMS "ngủ quên" giữa hai lần kiểm toán sẽ không thể chịu được bất kỳ cuộc kiểm toán khách hàng nào.

Nền tảng và AI đáp ứng các trường hợp thông thường. Khi bạn cần nhiều hơn — chẳng hạn cho phương pháp đánh giá rủi ro hoặc một cuộc kiểm toán nội bộ độc lập — chúng tôi sẽ giới thiệu tư vấn độc lập từ mạng lưới đối tác của chúng tôi. Người đã tư vấn cho bạn sẽ không kiểm toán bạn tại chỗ chúng tôi.