De beste ISO 27001-compliancesoftware is die welke u, clausule voor clausule, kan tonen welke registraties ze bijhoudt en welke niet, die registraties gedateerd houdt door de hele certificeringscyclus van drie jaar, en u laat vertrekken met alles in open formaten. Aantallen functies beslissen geen audit. Vier vragen doen dat, en elk antwoord is te controleren voordat u betaalt.
1. Vraag om clausuledekking, inclusief de gaten
ISO 27001 is clausules 4 tot 10 plus 93 beheersmaatregelen van bijlage A. Een auditor werkt de clausules door. Vraag elke leverancier om een verklaring clausule voor clausule van waarvoor zijn product registraties bijhoudt, en waarvoor niet.
De gaten zijn de informatieve helft. Een leverancier die die lijst niet kan leveren, heeft zijn product niet op de norm gemapt, en een leverancier wiens lijst geen gaten heeft, heeft haar niet eerlijk gelezen. De onze is gepubliceerd, met de gaten erin, en ze wordt gegenereerd uit hetzelfde register waarop het product draait.
2. Vraag wat er in maand veertien gebeurt
Certificering is drie jaar met elk jaar controleaudits. De meeste tools zijn gebouwd voor de eerste maand: de verklaring van toepasselijkheid opstellen, beleid genereren, georganiseerd overkomen. Het werk dat terugkeert, is bewijs dat veroudert en opnieuw verzameld moet worden.
Vraag wat het product doet wanneer bewijs verloopt. Is het antwoord een herinneringsmail, dan is het een takenlijst. Draagt bewijs een vervaldatum en verversen verbonden systemen het, dan is het een systeem.
3. Vraag of u kunt vertrekken
Vraag om een export met elke registratie waar een auditor om zou vragen, in een formaat dat u zonder de leverancier kunt lezen. Vraag of u elke geaccrediteerde certificerende instelling kunt gebruiken, of alleen de hunne. Een tool gebundeld met een audit kan handig zijn, en neemt u ook de mogelijkheid af om offertes te vergelijken.
4. Weeg integraties op wat ze werkelijk doen
Aantallen integraties zijn het kopgetal in deze categorie. Ze doen ertoe wanneer ze bewijs actueel houden zonder dat iemand eraan hoeft te denken, en dat is echte waarde. Als totaal doen ze er veel minder toe. Dertig integraties die u niet gebruikt, zijn niet beter dan vijf die u wel gebruikt, en elke integratie die bevindingen oplevert die niemand beoordeelt, wordt ruis die het team leert te negeren.
Waar dit allemaal niet over gaat
Prijs. De categorieën in deze markt lopen ruwweg een orde van grootte uiteen, en het verschil tussen tools is zelden de moeite waard om te optimaliseren tegenover de auditkosten, die worden bepaald door auditordagen en niet door software. Kies de tool die uw registraties in maand veertien nog heeft.