Er zijn maar een handje vol bedrijven die zich uberhaupt weten te certificeren op ISO27001, het zegt echter niks over de mate waarin je beveiligd bent maar meer over het feit dat je ISMS (Informatie Security Management System) voldoet aan de eisen die binnen ISO27001 gesteld zijn. Dit op zich zegt eigenlijk nog niks, want 27001 kan en mag je alles scopen. Zo kan een bedrijf 27001 gecertificeerd zijn op toegangsbeveiliging terwijl de primaire bedrijfsprocessen buiten de scope vallen. Het is dus als belangrijk om de Verklaring van Toepasselijkheid (SoA, Statement of Applicability) na te lopen om zien hoe en wat de scope betreft Je kunt je echter niet laten certificeren op 27002 omdat dit een maatregelenset is die je zou kunnen gebruiken om de processen binnen de scope op certificeerbaar niveau te brengen. De mate waarin maatregelen worden doorgevoerd in de organisatie is afhankelijk van de uitkomsten van de risicoanalyse, de resultaten worden beoordeeld en tijdens deze beoordeling kan het best zo zijn dat ...