Audyt ISO 27001 – bezpieczeństwo informacji i SZBI

Audyt wewnętrzny ISO 27001 i ocena gotowości

Usługa może obejmować audyt wewnętrzny istniejącego SZBI, przegląd przed certyfikacją albo ocenę wybranych procesów i dostawców. Na początku ustalamy granice systemu, cel badania i wersję wymagań. ISO/IEC 27001:2022 określa wymagania dla SZBI; uwzględniamy odpowiednie zmiany i wymagania mające zastosowanie do organizacji.

Przegląd przed certyfikacją pomaga rozpoznać braki w dokumentacji i wdrożeniu. Audyt wewnętrzny służy również ocenie utrzymywanego systemu. Wydanie certyfikatu zgodności jest odrębnym procesem prowadzonym przez jednostkę certyfikującą. W naszej ofercie precyzyjnie określamy rodzaj badania i oczekiwany rezultat.

Co obejmuje audyt SZBI?

• Kontekst organizacji, zakres SZBI, odpowiedzialność kierownictwa i cele bezpieczeństwa.
• Identyfikacja aktywów, właścicieli informacji oraz ryzyka dla poufności, integralności i dostępności.
• Analiza i postępowanie z ryzykiem oraz uzasadnienie doboru zabezpieczeń w deklaracji stosowania (SoA).
• Zarządzanie dostępem, pracą personelu, dostawcami i usługami chmurowymi.
• Obsługa incydentów, kopie zapasowe, odtwarzanie oraz powiązanie z ciągłością działania.
• Monitorowanie, wcześniejsze audyty, przegląd zarządzania i działania korygujące.

To przykładowe obszary do uzgodnienia. Dowody dobieramy do ryzyka i zakresu SZBI; sam komplet procedur nie potwierdza skutecznego wdrożenia.

Jakie dokumenty przygotować?

Potrzebne są zakres SZBI, polityka bezpieczeństwa, metodyka i wyniki oceny ryzyka, plan postępowania z ryzykiem, SoA oraz dokumentacja procesów wybranych do badania. Przydatne są rejestry incydentów, wyniki testów odtwarzania, wcześniejsze ustalenia audytowe i przegląd zarządzania. Ustalamy rozmowy z właścicielami procesów oraz sposób wglądu w konfiguracje i zapisy.

Raport, niezgodności i plan doskonalenia

Każde ustalenie wiążemy z kryterium, dowodem i znaczeniem dla organizacji. Raport wskazuje zakres i ograniczenia badania, stwierdzone niezgodności oraz rekomendacje. Wspólnie omawiamy priorytety; organizacja wskazuje właścicieli działań i terminy. Odrębnie można uzgodnić sprawdzenie realizacji zaleceń.

ISO 27001 a NIS2, KRI i RODO

Jeden zestaw dowodów może wspierać ocenę kilku obszarów, ale kryteria pozostają odrębne. Certyfikat ISO 27001 sam w sobie nie rozstrzyga o wykonaniu wszystkich obowiązków KSC, KRI lub RODO. Przy badaniu łączonym przygotowujemy matrycę wymagań i określamy, które z nich zostały sprawdzone.

Źródła i kryteria badania

• ISO – ISO/IEC 27001:2022: wymagania SZBI

Wycena audytu i współpraca w całej Polsce

Realizujemy badania zdalnie, stacjonarnie u klienta i hybrydowo. Cena zależy od zakresu, liczby podmiotów i lokalizacji, dokumentacji oraz potrzebnych czynności. W pierwszym zapytaniu opisz organizację lub program, cel badania i termin otrzymania raportu. Szczegółowe materiały oraz bezpieczny sposób ich udostępnienia uzgodnimy przed rozpoczęciem prac.

Prześlij informacje do indywidualnej oferty

Audyt ISO 27001: najczęstsze pytania przed zleceniem

Czy można zlecić audyt wewnętrzny SZBI zewnętrznemu wykonawcy?

Można uzgodnić takie zlecenie, określając kompetencje, obiektywizm audytora, granice SZBI i program badania. Przed ofertą sprawdzamy również wcześniejszy udział wykonawcy w projektowaniu lub utrzymywaniu ocenianych rozwiązań.

Czy do audytu potrzebna jest deklaracja stosowania SoA?

W audycie istniejącego SZBI deklaracja stosowania pozwala połączyć decyzje o zabezpieczeniach z ryzykiem i dowodami wdrożenia. Jeżeli system jest dopiero przygotowywany, brakujące elementy wskazujemy w ocenie gotowości.

Czym różni się raport z audytu od certyfikatu ISO 27001?

Raport przedstawia zbadane wymagania, dowody i ustalenia. Certyfikat wydaje jednostka certyfikująca w odrębnym procesie. Synergia-Pro oferuje audyt wewnętrzny i przegląd gotowości przed certyfikacją; rodzaj rezultatu zapisujemy w ofercie.

Przygotuj zakres SZBI, liczbę lokalizacji, listę istotnych usług, SoA i datę planowanej certyfikacji lub przeglądu zarządzania. Pozwoli to określić czas i cenę audytu. Zamów wycenę audytu ISO 27001.