GRC · Usługa specjalistyczna
Audyt wewnętrzny SZBI i przygotowanie do certyfikacji
Wdrożony SZBI potrzebuje niezależnego spojrzenia na to, jak działa w praktyce. Sprawdzamy realizację przyjętych wymagań i pomagamy uporządkować działania korygujące.
Zakres usługi
Audyt wewnętrzny SZBI
Audyt wewnętrzny obejmuje wskazane procesy systemu zarządzania bezpieczeństwem informacji oraz ich zgodność z przyjętymi kryteriami. Łączymy analizę dokumentacji z wywiadami i próbkowaniem zapisów. Zapewniamy rozdzielenie odpowiedzialności wdrożeniowej i audytowej w ocenianym zakresie. Ustalenia przedstawiamy z dowodami oraz odniesieniem do wymagania. Wsparcie przygotowania do certyfikacji obejmuje porządkowanie materiałów i gotowości zespołu; nie jest audytem certyfikacyjnym ani obietnicą uzyskania certyfikatu.
Program i bezstronność
Uzgadniamy kryteria, obszary i próbki z uwzględnieniem ryzyka oraz wcześniejszych ustaleń. Sprawdzamy rozdzielenie ról osób wdrażających i audytujących.
Weryfikacja procesów
Badamy wykonanie przyjętych procedur, realizację celów oraz nadzór nad zabezpieczeniami. Ocenę opieramy na dostępnych zapisach i rozmowach z właścicielami.
Niezgodności i korekty
Opisujemy wymaganie, dowód i istotę rozbieżności. Wspieramy planowanie analizy przyczyn oraz działań korygujących, pozostawiając ich zatwierdzenie właścicielom.
Gotowość do certyfikacji
Pomagamy uporządkować dowody i przygotować zespoły do przedstawienia działania SZBI. Weryfikujemy uzgodnione działania przed oceną niezależnej jednostki.
Rezultaty prac
Co otrzymuje Twój zespół?
- Plan audytu z kryteriami i zakresem próbkowania.
- Raport ustaleń i niezgodności z dowodami.
- Rejestr działań korygujących i kryteriów zamknięcia.
- Zestawienie gotowości oraz brakujących materiałów.
Warunki realizacji
Co ustalamy przed startem?
- Zdefiniowany zakres SZBI i kryteria audytu.
- Dostęp do dokumentacji, właścicieli procesów i zapisów z działania.
- Możliwość zapewnienia bezstronności oraz rozdzielenia odpowiedzialności.
Sposób pracy
Od rozpoznania potrzeby do weryfikacji wyniku.
Planujemy ocenę
Uzgadniamy zakres, terminy rozmów, kryteria i próbki. Weryfikujemy bezstronność obsady audytu.
Zbieramy dowody
Badamy wybrane procesy, omawiamy ustalenia i potwierdzamy fakty. Dokumentujemy ograniczenia weryfikacji.
Weryfikujemy poprawę
Przekazujemy raport i wspieramy plan korekt. Sprawdzamy uzgodnione dowody wykonania działań korygujących.
Czytelna odpowiedzialność
Co jest już w podstawie, a co rozszerzamy?
Audyt wewnętrzny organizacji jest odrębną usługą GRC. Podstawowe wsparcie audytowe Enterprise polega na dostarczeniu dowodów wykonania usługi i nie zastępuje programu audytów SZBI.
Punkty odniesienia: ISO — certyfikacja. Wymagania i zakres ich zastosowania ustalamy dla konkretnej organizacji.
Przed podjęciem decyzji
Pytania o audyt wewnętrzny szbi
Kto wydaje certyfikat ISO/IEC 27001?
Odrębna, niezależna jednostka certyfikująca. Nasz audyt wewnętrzny oraz wsparcie przygotowania dostarczają informacji, ale nie zastępują jej oceny ani decyzji.
Czy wdrożeniowiec może audytować własną pracę?
W ocenianym zakresie zapewniamy rozdzielenie odpowiedzialności wdrożeniowej i audytowej. Dobór osób musi umożliwiać bezstronną ocenę oraz wiarygodne ustalenia.
Czy zamknięcie niezgodności polega na poprawieniu dokumentu?
Czasami korekta dokumentu jest potrzebna, lecz oceniamy także przyczynę oraz skuteczność działania. Sam nowy zapis nie potwierdza zmiany praktyki.
Powiązane kompetencje
Połącz działania, które się uzupełniają.
Kolejny krok
Ustalmy zakres, który ma sens dla Twojej organizacji.
Porozmawiajmy o środowisku, priorytetach i odpowiedzialności zespołów. Na tej podstawie określimy zakres prac, wymagane dostępy oraz warunki obsługi.