Audyt zerowy
Pierwszy przegląd przed zmianami. Pokazuje stan dokumentacji i organizacji bezpieczeństwa oraz kolejność działań.
Audyty bezpieczeństwa i przygotowanie do NIS2
Sprawdzam, gdzie organizacja jest względem KRI, ISO/IEC 27001 i ustawy o KSC, i układam plan dojścia do zgodności. Opieram się na dokumentacji, ale rozmawiam też z ludźmi, bo papier nie zawsze pokazuje, jak jest naprawdę.
Jaki audyt wybrać
Cztery sytuacje, z którymi organizacje zwykle zaczynają.
Audyt KRI
Obowiązkowy, przeprowadzany co najmniej raz w roku audyt bezpieczeństwa informacji w podmiotach realizujących zadania publiczne.
Przygotowanie do KSC
Ustalenie, czy organizacja podlega ustawie, wpis do wykazu i wdrożenie systemu zarządzania bezpieczeństwem informacji do 3 kwietnia 2027 r.
Dokumentacja SZBI i RODO
Polityki, procedury, analiza ryzyka i plan ciągłości działania, napisane tak, żeby dało się według nich pracować.
Co sprawdzam
Zakres ustalamy na początku, ale zwykle obejmuje te obszary.
Dokumentacja
- Polityki, procedury i instrukcjekompletność, aktualność i spójność oraz powiązania między dokumentami i rejestrami
- Brakujące regulacjedokumenty i mechanizmy formalne, których wymagają KRI, ISO/IEC 27001 lub KSC
Ryzyko i ciągłość
- Analiza ryzykai jej powiązanie z planem postępowania z ryzykiem oraz stosowanymi zabezpieczeniami
- Ciągłość działaniaplany odtwarzania awaryjnego, cele RPO i RTO oraz zasady testowania odtworzeń
Codzienne działanie
- Incydenty, podatności i aktualizacjejak są wykrywane, obsługiwane i dokumentowane
- Dostępy i uprawnienianadawanie, przeglądy i odbieranie uprawnień
- Kopie zapasowe, logi i monitoringco jest zapisywane, jak długo i kto to sprawdza
- Dostęp zdalnyzasady pracy zdalnej i dostępu serwisowego
Otoczenie
- Dostawcyumowy i wymagania bezpieczeństwa wobec firm zewnętrznych
- Szkoleniapracowników i kierownictwa, które odpowiada za nadzór nad bezpieczeństwem
Przebieg audytu zerowego
Zwykle trwa od 3 do 6 tygodni od przekazania dokumentacji.
- Uzgodnienie zakresuosoby kontaktowe, sposób przekazania dokumentów i obszary do potwierdzenia
- Analiza dokumentacjiprzegląd dokumentów, mapowanie wymagań, wyszukanie braków i niespójności
- Wywiady i warsztatyrozmowy z osobami odpowiedzialnymi za obszary tam, gdzie dokumenty nie wystarczają do oceny
- Analiza luk (GAP)ocena każdego wymagania z określeniem wpływu i priorytetu
- Raport i plan działańraport dla kierownictwa, szczegółowa macierz zgodności, mapa dokumentacji i plan naprawczy
- Prezentacja wynikówspotkanie podsumowujące z omówieniem najważniejszych luk i zaleceń
Jak oceniam wymagania
Każde wymaganie dostaje jedną z pięciu ocen.
| Ocena | Co oznacza |
|---|---|
| Zgodny | wymaganie jest uregulowane, opisane w dokumentacji i potwierdzone w praktyce |
| Częściowo zgodny | wymaganie jest uregulowane tylko częściowo albo wymaga uzupełnienia lub aktualizacji |
| Niezgodny | wymaganie nie jest spełnione albo istniejące zapisy nie wystarczają |
| Brak uregulowania | nie ma dokumentu, procedury ani formalnego mechanizmu |
| Nie dotyczy | wymaganie nie ma zastosowania w uzgodnionym zakresie |
Jeśli do oceny brakuje materiałów, wymaganie oznaczam jako wymagające uzupełnienia, dopóki ich nie dostanę.
Co dostajesz
- Raport zarządczypoziom dojrzałości, kluczowe ryzyka, najważniejsze niezgodności i priorytety, w formie dla kierownictwa
- Szczegółowa analiza GAPmacierz: wymaganie, źródło, dokument lub obszar, ocena, luka, zalecenie i priorytet
- Mapa dokumentacjiktóre dokumenty są aktualne, które trzeba poprawić, rozszerzyć, połączyć, wycofać albo napisać od podstaw
- Plan działań naprawczychco zrobić w ciągu 30 dni, od 1 do 3 miesięcy, od 3 do 6 miesięcy i w dłuższym horyzoncie
- Prezentacja wynikówomówienie luk i zaleceń z osobami, które będą je wdrażać
Ważne przed startem
Czego audyt nie obejmuje
- testów penetracyjnych i skanowania podatności
- przeglądu konfiguracji Active Directory, zapór i innych urządzeń
- napisania brakujących polityk i procedur
Każdą z tych rzeczy można zamówić osobno albo jako kolejny etap.
Poufność
Dokumenty i informacje z audytu wykorzystuję wyłącznie do jego wykonania. Zasady przekazywania, przechowywania i usuwania materiałów ustalamy przed startem, a na życzenie podpisuję umowę o poufności (NDA).
Czas i wycena
Audyt zerowy trwa zwykle od 3 do 6 tygodni. Cena zależy od objętości dokumentacji, czyli liczby dokumentów i stron.
Na start wystarczy wykaz dokumentów z liczbą stron i datą ostatniej aktualizacji.
Pozostałe usługi z cyberbezpieczeństwa
Chcesz wiedzieć, gdzie jesteś względem NIS2 i KRI?
Prześlij wykaz dokumentów albo opisz sytuację. Odpowiem, od czego zacząć i ile to potrwa.