GRC · Usługa specjalistyczna
Audyt ISO/IEC 27001 i analiza luk w SZBI
Przed wdrożeniem SZBI warto wiedzieć, które wymagania są już realizowane. Analiza luk porządkuje stan obecny i pozwala zaplanować prace potrzebne do osiągnięcia założonego celu.
Zakres usługi
Analiza luk ISO/IEC 27001
Oceniamy przygotowanie organizacji do wymagań ISO/IEC 27001 w uzgodnionym zakresie systemu zarządzania. Analizujemy sposób podejmowania decyzji, zarządzanie ryzykiem, dokumentację oraz dostępne dowody realizacji procesów. Oddzielamy rozwiązania funkcjonujące w praktyce od zapisów, które wymagają wdrożenia lub potwierdzenia. Rezultatem jest mapa luk z ich znaczeniem, zależnościami i rekomendowanym sposobem uzupełnienia. Usługa pomaga ustalić realny zakres projektu bez zakładania, że wszystkie elementy należy budować od początku.
Zakres i kontekst SZBI
Przeglądamy granice systemu, istotne procesy i oczekiwania zainteresowanych stron. Sprawdzamy, czy zakres odpowiada rzeczywistym zależnościom organizacji.
Zarządzanie i ryzyko
Oceniamy role, cele bezpieczeństwa, metodę oceny ryzyka i sposób zatwierdzania działań. Weryfikujemy powiązanie decyzji z wyborem zabezpieczeń.
Dokumentacja i dowody
Analizujemy polityki, procedury, rejestry i zapisy z realizacji procesów. Sprawdzamy spójność deklaracji stosowania z uzasadnieniami oraz faktycznym stanem wdrożenia.
Ocena skuteczności i doskonalenie
Przeglądamy pomiary, audyty wewnętrzne, przeglądy zarządzania i działania korygujące. Wskazujemy, jakich dowodów brakuje do oceny działania systemu.
Rezultaty prac
Co otrzymuje Twój zespół?
- Macierz wymagań, dowodów i rozpoznanych luk.
- Raport gotowości w określonym zakresie SZBI.
- Plan dostosowania z priorytetami i zależnościami.
- Lista decyzji potrzebnych od kierownictwa.
Warunki realizacji
Co ustalamy przed startem?
- Wstępnie określony zakres systemu i cel oceny.
- Dostęp do aktualnej dokumentacji oraz dowodów jej stosowania.
- Udział właścicieli procesów i osoby odpowiedzialnej za SZBI.
Sposób pracy
Od rozpoznania potrzeby do weryfikacji wyniku.
Uzgadniamy podstawę oceny
Potwierdzamy zakres SZBI, właściwe wydanie normy i dostępne materiały. Przygotowujemy plan rozmów oraz weryfikacji.
Badamy realizację wymagań
Porównujemy dokumentację z praktyką i dowodami. Wyjaśniamy rozbieżności z osobami odpowiedzialnymi.
Planujemy zamknięcie luk
Ustalamy zależności działań i kryteria ich ukończenia. Prezentujemy wnioski kierownictwu.
Czytelna odpowiedzialność
Co jest już w podstawie, a co rozszerzamy?
Analiza luk całego SZBI jest odrębnym projektem GRC. Raporty oraz dowody wykonania SOC/NOC mogą wesprzeć ocenę, lecz podstawowy przegląd Enterprise nie zastępuje audytu zgodności organizacji.
Punkty odniesienia: ISO/IEC 27001. Wymagania i zakres ich zastosowania ustalamy dla konkretnej organizacji.
Przed podjęciem decyzji
Pytania o analiza luk iso/iec 27001
Czy analiza luk jest audytem certyfikacyjnym?
Nie. Jest oceną przygotowania i podstawą planu prac. Decyzję o certyfikacji podejmuje odrębna, niezależna jednostka certyfikująca.
Czy można zacząć bez kompletnej dokumentacji?
Tak. Braki dokumentacji są częścią diagnozy. Istotny jest dostęp do osób i informacji pokazujących, jak organizacja faktycznie realizuje procesy.
Co odróżnia analizę luk od audytu wewnętrznego?
Analiza luk służy przede wszystkim zaplanowaniu dostosowania. Audyt wewnętrzny ocenia działający SZBI według przyjętych kryteriów i programu audytów.
Powiązane kompetencje
Połącz działania, które się uzupełniają.
Kolejny krok
Ustalmy zakres, który ma sens dla Twojej organizacji.
Porozmawiajmy o środowisku, priorytetach i odpowiedzialności zespołów. Na tej podstawie określimy zakres prac, wymagane dostępy oraz warunki obsługi.