Certificering vs. Compliance

Hvorfor de er forskellige

Compliance betyder at følge reglerne; certificering er et eksternt organs formelle erklæring om, at en standard er opfyldt på et bestemt tidspunkt.

Certificering

Compliance, styring og lovgivning

Formelt bevis fra et godkendt eksternt organ på, at en organisations sikkerhed lever op til en offentlig standard som ISO 27001.

Formelt

Et certifikat, som et officielt godkendt certificeringsorgan udsteder, når en ekstern audit i to trin har vist, at et ISMS opfylder alle krav i ISO 27001; det gælder i tre år og holdes ved lige med audits hvert år. ISO 27002 er kun vejledning og kan ikke bruges til certificering.

Forklaret enkelt

Som en køreprøve - du kan sagtens køre forsigtigt i forvejen, men først den beståede prøve giver dig et kørekort, som fremmede stoler på.

I praksis

Flere kommuner kræver ISO 27001-certificering i et udbud om drift af deres sagssystemer, så en dansk hostingvirksomhed bestiller et certificeringsorgan, består begge audit-trin og sender certifikatet med sit tilbud.

Hvorfor det betyder noget

Kunder kan ikke selv undersøge hver leverandør og læner sig derfor op ad certifikatet - men det beviser, at der findes et fungerende system, ikke at et brud er umuligt.

Compliance

Grundbegreber

At leve op til gældende regler, lovgivning og standarder - fx NIS2, GDPR og ISO 27001.

Formelt

Tilstanden, hvor man opfylder de krav, der stilles af lovgivning, kontrakter, standarder og organisationens egne politikker - og kan dokumentere, at de er opfyldt.

Forklaret enkelt

Som en bil, der består synet - det beviser, at bilen overholder reglerne, men ikke at den bliver kørt sikkert.

I praksis

Før den årlige audit samler den complianceansvarlige i en pensionskasse dokumentation for, at backupper er blevet prøvegendannet, og at alle medarbejdere har gennemført den obligatoriske sikkerhedstræning.

Hvorfor det betyder noget

Manglende compliance kan betyde bøder, tabte kunder og personligt ansvar for ledelsen - og kravene tvinger ofte nødvendigt arbejde igennem, som ellers ville blive udskudt.

Fælles forbindelser

Audit ISO 27001