Den bedste ISO 27001 compliance-software er den, der afsnit for afsnit kan vise jer, hvilke registreringer den holder, og hvilke den ikke holder, som holder de registreringer daterede gennem hele den treårige certificeringscyklus, og som lader jer gå med alt i åbne formater. Antal funktioner afgør ikke en audit. Fire spørgsmål gør, og hvert svar kan kontrolleres, før I betaler.
1. Bed om dækning af afsnittene, hullerne inklusive
ISO 27001 er afsnit 4 til 10 plus 93 foranstaltninger i Bilag A. En auditor arbejder sig gennem afsnittene. Bed enhver leverandør om en opgørelse afsnit for afsnit over, hvad deres produkt fører registreringer for, og hvad det ikke gør.
Hullerne er den oplysende halvdel. En leverandør, der ikke kan fremlægge den liste, har ikke kortlagt sit produkt mod standarden, og en leverandør, hvis liste ingen huller har, har ikke læst den ærligt. Vores er offentliggjort med hullerne i, og den genereres fra samme register, som produktet kører på.
2. Spørg, hvad der sker i måned fjorten
Certificering er tre år med overvågningsaudits hvert år. De fleste værktøjer er bygget til den første måned: udarbejde anvendelseserklæringen, generere politikker, se organiseret ud. Det arbejde, der kommer igen, er beviser, der bliver gamle og skal indsamles igen.
Spørg, hvad produktet gør, når beviser udløber. Er svaret en påmindelsesmail, er det en to-do-liste. Bærer beviser en udløbsdato, og opfrisker tilsluttede systemer dem, er det et system.
3. Spørg, om I kan gå
Bed om en eksport med hver registrering, en auditor ville spørge om, i et format, I kan læse uden leverandøren. Spørg, om I kan bruge et hvilket som helst akkrediteret certificeringsorgan eller kun deres. Et værktøj bundtet med en audit kan være bekvemt, og det fjerner samtidig jeres mulighed for at sammenligne tilbud.
4. Vej integrationer efter, hvad de faktisk gør
Antal integrationer er overskriftstallet i denne kategori. De betyder noget, når de holder beviser aktuelle, uden at nogen skal huske det, og det er reel værdi. De betyder langt mindre som et samlet tal. Tredive integrationer, I ikke bruger, er ikke bedre end fem, I bruger, og hver af dem, der frembringer fund, ingen gennemgår, bliver til støj, som teamet lærer at ignorere.
Hvad intet af dette handler om
Pris. Kategorierne på dette marked spænder groft sagt over en størrelsesorden, og forskellen mellem værktøjer er sjældent værd at optimere op imod auditgebyret, som fastlægges af auditordage og ikke af software. Vælg det, der stadig har jeres registreringer i måned fjorten.