Audyt SZBI – ocena systemu i raport z zaleceniami

Audyt SZBI sprawdza, czy przyjęte zasady bezpieczeństwa informacji są stosowane i czy wybrane zabezpieczenia działają.

To ocena istniejącego systemu, która pomaga kierownictwu ustalić niezgodności i priorytety działań korygujących.

Punkt odniesienia ustalamy przed audytem: może nim być dokumentacja organizacji, norma ISO/IEC 27001 albo wymagania KRI lub ustawy o KSC, jeśli dotyczą badanego podmiotu. Przeglądamy dokumenty i dowody działania procesów, prowadzimy wywiady oraz weryfikujemy uzgodnione zabezpieczenia. Wyniki przekazujemy w raporcie z zaleceniami.

SZBI

Sprawdzane obszary w ramach audytu

01Dokumentacja i stosowanie procedurSprawdzamy, czy polityki, procedury i rejestry są aktualne, zatwierdzone oraz stosowane w praktyce.
02Role i świadomość pracownikówWeryfikujemy podział odpowiedzialności, program szkoleń i sposób zgłaszania incydentów.
03Aktywa, uprawnienia i zabezpieczeniaPorównujemy ewidencję aktywów i przeglądy dostępów z dowodami działania uzgodnionych zabezpieczeń.
04Wymagania przyjęte do audytuOceniamy system względem uzgodnionego zakresu: wewnętrznych zasad, ISO/IEC 27001 oraz właściwych dla podmiotu przepisów.

Raport wskazuje ustalenia, ich znaczenie dla ryzyka i zalecane działania. Może służyć do planowania poprawek, przeglądu zarządczego lub przygotowania do osobnego audytu certyfikacyjnego.

Jeżeli organizacja potrzebuje corocznego audytu wewnętrznego wymaganego przez KRI, jego zakres i niezależność audytora trzeba uzgodnić oddzielnie. Sam audyt SZBI nie oznacza automatycznie certyfikacji ani potwierdzenia zgodności ze wszystkimi przepisami.

Sprawdź także wdrożenie SZBI albo audyt KRI dla podmiotów publicznych, jeśli taki punkt odniesienia odpowiada Twojej organizacji.

Audyt SZBI – sprawdzenie działania systemu

Najczęściej zadawane pytania

Co obejmuje audyt SZBI?

Zakres ustalamy przed audytem. Zwykle obejmuje dokumentację i analizę ryzyka, zarządzanie dostępami i aktywami, kopie zapasowe oraz reagowanie na incydenty. Jeżeli punktem odniesienia jest ISO/IEC 27001, sprawdzamy także odpowiednie zabezpieczenia z Załącznika A.

Jak często trzeba przeprowadzać audyt?

Częstotliwość zależy od podstawy audytu. KRI wymaga od podmiotów realizujących zadania publiczne okresowego audytu wewnętrznego bezpieczeństwa informacji nie rzadziej niż raz w roku. ISO/IEC 27001 wymaga audytów w zaplanowanych odstępach. W ustawie o KSC termin pierwszego audytu zależy od statusu podmiotu kluczowego i jego wcześniejszych obowiązków.

Co otrzymuję po audycie?

Raport z audytu zawierający wykaz niezgodności i obserwacji, ocenę poziomu ryzyka, priorytetyzowane rekomendacje naprawcze oraz podsumowanie dla kierownictwa gotowe do przedstawienia na przeglądzie zarządczym lub organowi kontrolnemu.

Czy audyt może zastąpić certyfikację?

Nie. Audyt wewnętrzny lub audyt zerowy nie zastępuje niezależnego audytu certyfikacyjnego. Certyfikat wydaje zewnętrzna jednostka certyfikująca; warto sprawdzić jej akredytację, która potwierdza kompetencje jednostki.

Audyt SZBI

Umów się na konsultację

Opisz krótko swoją sytuację — odpowiemy z propozycją zakresu i terminu. Konsultacja wstępna jest bezpłatna i do niczego nie zobowiązuje.

Konsultacja z ekspertem+48 604 548 169