SPRING DISCOUNT
Get 30% off on toolkits, course exams, and Conformio yearly plans.
Limited-time offer – ends April 25, 2024
Guest
Guest
Create New Topic As guest or Sign in
Assign topic to the user
-
Work breakdown structure for ISO audits
Can you please help me with the Work Breakdown structure for ISO Audits? -
Best practices in accessing business cloud applications
My question is related to what’s the best practices in accessing business cloud applications from mobile devices? I think that’s not included in any of the policies of your package… -
How long should a company operate the ISMS before an internal audit takes place
I appreciate if you could assist me with the following question related to the ISO 27001 implementation process. Once the controls (technical, develop policies, etc.) are implemented, any best practice on how long should a company operate the ISMS before an internal audit takes place, and what is the time frame between the internal audit and the certification audit. -
AIA o BIA
Como empatar los métodos anteriores con el 22301. en días anteriores me comentaron que en la 22301, no considera el AIA, sino que se desprende del BIA la identificación de aplicaciones críticas del negocio, es esto verdad? -
Los métodos de medición deben producir resultados comparables y reproducibles
Cómo puedo demostrar que los métodos empleados para el monitoreo, medición, análisis y evaluación aseguran resultados válidos? En la nota de la norma indica que los métodos seleccionados deben producir resultados comparables y reproducibles para ser considerados válidos. -
Scope for a data center
can i define just a small data center as isms scope? -
Data centre externalized
I have a query…it’s already 3 years since we are certified ISO 27001 and this year we shall go for recertification -
Gestionar riesgos en la nube
En el caso de una empresa donde el servicio donde se va a implementarla ISO 27001 es el servicio de digitalización de documentación a sus clientes, pero que para ello se utiliza almacenamiento en la nube de la información digitalizada a un proveedor de housting., teniendo este proveedor de la nube en posesión la mayoría de activos que realizan los tratamientos de datos e información (sobre todo almacenamiento de la información en sus maquinas, CPD, y aplicaciones instaladas ) y que prestan el servicio al cliente. ¿Como se realiza la gestión de riesgos? ¿Es necesario realizar la gestión de riesgos sobre dichos activos que están en posesión del proveedor cloud?, entiendo que ya que la información es mi activo, este esta en las maquinas, CPD y demás que son los activos del proveedor, debería de tratarse de alguna forma, pero no tengo claro sin el ámbito de aplicación de gestión y tratamientos de riesgos debe de llegar a sus activos o es suficientes con contratos u acuerdos de SLA y controles sobre este (pero esto sería después ya en e l plan de tratamiento de riesgos). Este punto para mi es un poco lioso y no se como enfocarlo. -
Information Classification for Client SOP
Currently our organization's information classification is: confidential, private & confidential, internal and unclassified. We are in the process of reviewing our classification and we found that there is a document that can be classified into one of classification. This document is some kind of SOP that we provide for our clients. We would like to know what this document should be classified as? This document is not confidential but we concern about copyrights and plagiarism issue if this document is not properly classified. -
Analyzing threats
I wanted to ask you about something that had made the risk assessment process a bit hard. The problem is that sometimes I am not totally clear as far as when to stop analyzing threats for a given asset. As an example of the problem, let's say I have a web based application that is hosted in a physical server. When I brainstorm on the web application threats, sometimes I feel that I cross the line and think about server issues - e.g. (a) physical server crash, (b) non-authorized access to the web server software (l mean to the Apache or IIS server software). Should e.g.'s (a) and (b) above be handled as part of the server threats and not the web application? Should the threats to the web application be limited to web application threats such as denial of service, elevation of privilege, sql injection and the like?