Door Anoniem: De auditor verstrekt geen certificaten; dat doet de certificatie manager. Technisch heb je gelijk, maar je begrijpt wat ik bedoel (iemand bij de certificerende organisatie verstrekt al dan niet een certificaat op basis van de bevindingen van de auditor). Door Anoniem: En flutauditors bestaan niet. Er worden hoge eisen aan auditors gesteld die certificatie onderzoeken doen. Zoals ik schreef, als jouw patchbeleid luidt "wij patchen niet" voldoe je, strikt genomen, aan ISO 27001 - dat vereist dat jouw ISMS op orde is, niet persé jouw informatiebeveiliging. En natuurlijk zijn niet alle auditors even bekwaam, nauwgezet en integer. Ook met de scope kun je "spelen". Last but not least krijgen klanten (vaak pas na flink doorvragen) een vinkjeslijst genaamd "SoA" - maar geen beschrijving van de feitelijk genomen maatregel(en) per vinkje. Voor de meeste klanten zegt een ISO 27001 certificaat helemaal niets over de mate van IB, tenzij dat certificaat is uitgegeven door een gerenommeerde uitgever - die ...