Hva en ISO 27001 Lead Implementer-sertifisering forteller
Implementering og revisjon er forskjellige oppdrag. Kontroller utsteder, nivå og gyldighet, og vurder deretter konsulenten mot arbeidet dere trenger.
Forsidebildet er en AI-generert redaksjonell illustrasjon. Skjermer og dokumenter er illustrerte konsepter.
En ISO 27001 Lead Implementer-sertifisering er relevant når dere velger noen til å bygge eller vedlikeholde et styringssystem for informasjonssikkerhet. Den er ett av flere holdepunkter, sammen med personens evne til å forklare og gjennomføre oppdraget.
Utstederen og nivået betyr noe. Et gjennomført kurs eller en bestått eksamen er ikke nødvendigvis det samme som full personsertifisering.
Kontroller den nøyaktige betegnelsen
PECBs Lead Implementer-ordning har flere nivåer med ulike krav til erfaring og prosjektarbeid. Andre utstedere kan ha andre ordninger.
Be om full tittel, utsteder og en måte å kontrollere gyldigheten på. En forkortet tittel i et tilbud er ikke tilstrekkelig til å fastslå personens prosjekthistorikk.
Spør deretter hvordan konsulenten vil håndtere omfang, risikovurdering og ansvar for kontroller hos dere. Sertifiseringen gir bakgrunn, men viser ikke hvor godt personen forstår virksomheten.
Knytt rollen til oppdraget
Implementering innebærer å hjelpe virksomheten med å definere styringssystemet, vurdere risiko, etablere kontroller og forberede dokumentasjon. Revisjon undersøker om kravene er oppfylt og systemet fungerer.
En fagperson kan være kvalifisert innen begge områder. En revisorutdanning betyr ikke at personen mangler evne til å gjennomføre et prosjekt. Det avgjørende er oppdraget, kompetansen og uavhengigheten vurderingen krever.
Den eksterne sertifiseringsrevisjonen må være uavhengig av konsulentarbeidet. En konsulent kan ikke bygge systemet og deretter tilby uavhengig sertifisering av sitt eget resultat.
Avklar hva prosjektet skal etterlate
Et godt tilbud navngir leveranser og beslutningene deres ansatte må ta. Det forklarer hvem som vedlikeholder risikoregisteret, godkjenner policyer, gjennomfører tekniske endringer og følger opp funn.
Ta med overlevering og videre drift. Virksomheten bør forstå egne prosesser etter oppdraget, uten å være avhengig av konsulenten for å tolke hvert dokument.
ISO 27001-sjekklisten kan brukes som grunnlag. Vurder arbeidet som tilbys, i tillegg til sertifiseringene på CV-en.
