Audyty zgodności ISO27001

Audyt ISO 27001 to proces oceny zgodności systemu zarządzania bezpieczeństwem informacji (SZBI) z wymaganiami międzynarodowej normy ISO/IEC 27001. Pozwala potwierdzić, że organizacja skutecznie chroni dane, zarządza ryzykiem i spełnia standardy bezpieczeństwa informacji.

Audyt ISO 27001 rekomendowany jest dla wszystkich organizacji, które przetwarzają dane osobowe, finansowe lub poufne – zwłaszcza z branż: IT, fintech, medycznej, e-commerce, energetyki i administracji publicznej.

Proces audytu obejmuje: 1) rozmowę o zakresie SZBI i wycenę, 2) przegląd dokumentacji: polityk, rejestru ryzyka, deklaracji stosowania, 3) wywiady z właścicielami procesów i próbkowanie dowodów (uprawnienia, kopie zapasowe, incydenty, szkolenia), 4) na życzenie testy techniczne zabezpieczeń, 5) raport z analizą luk i planem działań korygujących, 6) weryfikację działań korygujących do 30 dni od raportu.

Audyt ISO 27001 potwierdza zgodność z normą, zwiększa zaufanie klientów i partnerów biznesowych, ogranicza ryzyko incydentów oraz stanowi dowód dojrzałości w zakresie cyberbezpieczeństwa.

Nie jest formalnie obowiązkowy, ale dla wielu branż stanowi wymóg kontraktowy lub regulacyjny. Wdrożenie i audyt ISO 27001 znacząco ułatwiają spełnienie wymagań NIS2, RODO i innych przepisów dotyczących ochrony danych.

Cena audytu ISO 27001 zależy od wielkości organizacji, zakresu SZBI, liczby lokalizacji, procesów i systemów oraz od tego, czy audyt obejmuje tylko dokumentację, czy również weryfikację techniczną zabezpieczeń. W VIPentest koszt audytu rozpoczyna się od 9 999 zł netto + VAT, a szczegółowa wycena przygotowywana jest indywidualnie po rozmowie o zakresie. W cenie jest raport z analizą luk, weryfikacja działań korygujących do 30 dni, dostęp do platformy vulnerability management i konsultacja z audytorem.

Zaleca się wcześniejsze opracowanie polityk bezpieczeństwa, rejestru ryzyk, analizy incydentów oraz przeglądu zgodności technicznej. VIPentest oferuje wstępny przegląd „pre-audit”, który pomaga przygotować się do certyfikacji.

Audyt zerowy (analiza luk) wykonuje się przed wdrożeniem lub przed pierwszą certyfikacją: pokazuje, które wymagania rozdziałów 4–10 normy i które z 93 zabezpieczeń załącznika A są spełnione, częściowo spełnione lub niespełnione, i od czego zacząć. Audyt wewnętrzny to cykliczny audyt wymagany przez normę (pkt 9.2) w działającym już systemie: sprawdza, czy SZBI jest utrzymywany i skuteczny, a jego raport ogląda jednostka certyfikująca podczas audytu nadzoru lub recertyfikacji.

Nie. Certyfikat ISO 27001 wydaje akredytowana jednostka certyfikująca po własnym audycie. Nasz audyt zgodności jest niezależną analizą luk, która przygotowuje organizację do tego audytu: otrzymujesz raport z listą niezgodności dużych i małych, oceną gotowości do certyfikacji oraz planem działań korygujących. Po wdrożeniu poprawek weryfikujemy ich zamknięcie (do 30 dni w cenie) i wystawiamy raport końcowy, który możesz przedstawić jednostce certyfikującej. Na życzenie wspieramy Cię również podczas audytu certyfikacyjnego.

Nie musi. Norma wymaga, aby audyt wewnętrzny był prowadzony w zaplanowanych odstępach przez audytorów obiektywnych i bezstronnych, czyli takich, którzy nie oceniają własnej pracy. W małych i średnich organizacjach trudno to zapewnić własnymi siłami, dlatego wiele firm zleca audyt wewnętrzny niezależnym audytorom. Zewnętrzny audytor patrzy na system tak jak jednostka certyfikująca, a raport z takiego audytu spełnia wymagania punktu 9.2 normy.

Podstawowy audyt zgodności ocenia dokumentację, procesy i dowody działania zabezpieczeń. Na życzenie rozszerzamy go o weryfikację techniczną: testy penetracyjne aplikacji i infrastruktury oraz audyt konfiguracji systemów według CIS Benchmark. Takie testy dostarczają dowodów skuteczności zabezpieczeń technicznych z załącznika A, o które pyta jednostka certyfikująca, i są wyceniane osobno, zależnie od zakresu. Audytor i pentester pracują w jednym zespole, więc wynik trafia do tego samego raportu.

Audytor sprawdza pięć obszarów: ocenę ryzyka (identyfikacja zagrożeń, prawdopodobieństwo i wpływ, plan postępowania z ryzykiem), polityki i procedury (zgodność z normą, aktualność i faktyczne wdrożenie, deklaracja stosowania), kontrole techniczne i organizacyjne (zarządzanie dostępem, szyfrowanie, kopie zapasowe, logowanie, bezpieczeństwo sieciowe i fizyczne, dostawcy), szkolenia i świadomość pracowników oraz ciągłe doskonalenie: audyty wewnętrzne, przegląd zarządzania, reakcję na incydenty i działania korygujące. Każde wymaganie dostaje status spełnione, częściowo spełnione, niespełnione lub nie dotyczy.