Pytania i odpowiedzi o ateście SCSA

Nie. Wydanie atestu zależy od wyniku oceny według właściwej wersji metodyki. Wynik negatywny kończy się raportem z planem naprawczym, bez wydania atestu i bez publikacji negatywnego wyniku w rejestrze.

Nie. Metodyka nie dopuszcza prób logowania ani sprawdzania działania ujawnionych poświadczeń. Zakres i upoważnienie do badania nie wymagają przekazania haseł.

Projekt przewiduje pasywną weryfikację portfelową prowadzoną dla odbiorcy usług. Jej wynik pozostaje materiałem wewnętrznym, nie prowadzi do atestu i nie jest publikowany. Proces uzyskania atestu wymaga udziału ocenianego podmiotu, w tym potwierdzenia zakresu.

Nie. SCSA-1, SCSA-2 i SCSA-3 określają wariant badania. Poziom A lub B wynika z oceny ustaleń. Wariant i poziom są odrębnymi informacjami na ateście.

Tak. Raport wstępny służy między innymi zgłoszeniu uwag i przedstawieniu dowodów dotyczących przypisania zasobu albo treści ustalenia. Projekt przewiduje też odwołanie od decyzji rozpatrywane niezależnie od osób zaangażowanych w ocenę.

Tak, po potwierdzeniu usunięcia ustalenia w reteście. Raport zachowuje informację o ustaleniach usuniętych w oknie naprawczym. Warunki i terminy retestów trzeba potwierdzić w zleceniu.

Dokument źródłowy nie określa jednego czasu realizacji całej oceny. Harmonogram zależy od uzgodnionego zakresu, wariantu, dostępności informacji oraz ewentualnych uwag i działań naprawczych. Termin należy potwierdzić z operatorem przed zleceniem.

Nie. Potwierdza wynik zewnętrznej oceny technicznej w określonym zakresie i czasie. Może być materiałem pomocniczym w ocenie ryzyka dostawcy. Nie zastępuje oceny zgodności z przepisami ani badania systemu zarządzania bezpieczeństwem informacji.

Nie. Pełny raport jest przeznaczony dla ocenianej organizacji. Publiczny wpis, publikowany za jej zgodą, obejmuje dane pozwalające zidentyfikować atest i sprawdzić jego zakres oraz status. Nie publikuje się pełnego raportu, szczegółów ustaleń ani wyników negatywnych.

Nie. Odnosi się do wskazanego podmiotu i zatwierdzonego zakresu. Nie można powoływać go dla innej spółki lub zasobu poza tym zakresem.