Die beste ISO-27001-Compliance-Software ist die, die Ihnen Abschnitt für Abschnitt zeigen kann, welche Aufzeichnungen sie führt und welche nicht, die diese Aufzeichnungen über den gesamten dreijährigen Zertifizierungszyklus datiert hält und die Sie mit allem in offenen Formaten gehen lässt. Funktionszahlen entscheiden kein Audit. Vier Fragen tun es, und jede Antwort lässt sich prüfen, bevor Sie bezahlen.
1. Fragen Sie nach der Abdeckung der Abschnitte, einschließlich der Lücken
ISO 27001 sind die Abschnitte 4 bis 10 plus 93 Controls in Anhang A. Ein Auditor arbeitet sich durch die Abschnitte. Bitten Sie jeden Anbieter um eine Aufstellung Abschnitt für Abschnitt, wofür sein Produkt Aufzeichnungen führt, und wofür nicht.
Die Lücken sind die aufschlussreiche Hälfte. Ein Anbieter, der diese Liste nicht vorlegen kann, hat sein Produkt nicht auf die Norm abgebildet, und ein Anbieter, dessen Liste keine Lücken hat, hat sie nicht ehrlich gelesen. Unsere ist veröffentlicht, mit den Lücken darin, und sie wird aus demselben Register erzeugt, mit dem das Produkt läuft.
2. Fragen Sie, was im vierzehnten Monat passiert
Zertifizierung dauert drei Jahre mit jährlichen Überwachungsaudits. Die meisten Werkzeuge sind für den ersten Monat gebaut: die Erklärung zur Anwendbarkeit entwerfen, Richtlinien erzeugen, organisiert wirken. Die Arbeit, die wiederkehrt, sind Nachweise, die veralten und neu gesammelt werden müssen.
Fragen Sie, was das Produkt tut, wenn Nachweise ablaufen. Ist die Antwort eine Erinnerungs-E-Mail, ist es eine To-do-Liste. Tragen Nachweise ein Ablaufdatum und erneuern angebundene Systeme sie, ist es ein System.
3. Fragen Sie, ob Sie gehen können
Bitten Sie um einen Export mit jeder Aufzeichnung, nach der ein Auditor fragen würde, in einem Format, das Sie ohne den Anbieter lesen können. Fragen Sie, ob Sie jede akkreditierte Zertifizierungsstelle nutzen können oder nur die ihre. Ein Werkzeug im Bündel mit einem Audit kann bequem sein, und es nimmt Ihnen zugleich die Möglichkeit, Angebote zu vergleichen.
4. Gewichten Sie Integrationen nach dem, was sie tatsächlich tun
Integrationszahlen sind die Schlagzeile in dieser Kategorie. Sie zählen, wenn sie Nachweise aktuell halten, ohne dass jemand daran denken muss, und das ist echter Wert. Als Gesamtzahl zählen sie viel weniger. Dreißig Integrationen, die Sie nicht nutzen, sind nicht besser als fünf, die Sie nutzen, und jede, die Funde erzeugt, die niemand sichtet, wird zu Rauschen, das das Team zu ignorieren lernt.
Worum es bei alldem nicht geht
Preis. Die Kategorien in diesem Markt liegen grob eine Größenordnung auseinander, und der Unterschied zwischen Werkzeugen lohnt selten eine Optimierung gegen die Auditgebühr, die durch Audittage festgelegt wird und nicht durch Software. Nehmen Sie das, das Ihre Aufzeichnungen im vierzehnten Monat noch hat.