Varmennustavoitteet
ISO 27001 -valmistelu
Miten tekninen testaus voi tukea riskienkäsittelyä ja hallintakeinojen arviointia ISO/IEC 27001 -tietoturvallisuuden hallintajärjestelmässä.
ISO/IEC 27001:2022 edellyttää, että organisaatio käsittelee tietoturvariskit ja arvioi niihin luottamiaan hallintakeinoja. Tekninen testaus näyttää, miten todelliset järjestelmät toimivat, ja se voi tukea tätä työtä. Se ei korvaa hallintajärjestelmää, riskiarviota tai soveltuvuusilmoitusta.
Miten testaus voi tukea tätä tavoitetta
- Näyttöä liitteen A kontrollille 8.8 (teknisten haavoittuvuuksien hallinta): käytössä olevien järjestelmien heikkouksien tunnistaminen ja niihin reagoiminen.
- Tietoa liitteen A kontrollille 8.29 (tietoturvatestaus kehityksessä ja hyväksynnässä), esimerkiksi ennen merkittävän järjestelmän tai muutoksen käyttöönottoa.
- Havainnot, jotka syötetään riskirekisteriin, jolloin käsittelypäätökset perustuvat osoitettuun altistumiseen eikä oletuksiin.
- Tarkistus siitä, toimivatko hallintakeinot käytännössä, eivätkä ne ole vain dokumentoituja menettelyjä.
Mitä testaus ei tee
- ISO/IEC 27001 ei edellytä tietyntyyppistä testiä, eikä yksittäinen testi osoita vaatimustenmukaisuutta.
- Testiraportti ei korvaa riskiarviota, soveltuvuusilmoitusta tai sisäistä tarkastusta.
- Sertifiointipäätökset kuuluvat sertifiointielimelle, eivät testauksen tarjoajalle.