Wdrożenie ISO/IEC 27001

Analiza stanu obecnego

Przeprowadzamy ocenę zgodności istniejących procesów, dokumentacji i zabezpieczeń z wymaganiami ISO/IEC 27001:2022.

Analiza obejmuje między innymi:

• kontekst i zakres planowanego SZBI,
• strukturę odpowiedzialności,
• sposób zarządzania ryzykiem,
• istniejące polityki i procedury,
• stosowane zabezpieczenia organizacyjne i techniczne,
• zarządzanie dostawcami,
• reagowanie na incydenty,
• ciągłość działania,
• monitorowanie i ocenę skuteczności SZBI.

Rezultatem jest raport przedstawiający zidentyfikowane luki, ich znaczenie oraz rekomendowaną kolejność działań.

Określenie zakresu SZBI

Wspieramy organizację w ustaleniu zakresu Systemu Zarządzania Bezpieczeństwem Informacji.

Zakres jest ustalany dla całej organizacji albo dla wybranych usług, procesów, jednostek organizacyjnych, systemów lub lokalizacji. Przy jego określaniu uwzględniamy oczekiwania klientów, zobowiązania umowne, wymagania regulacyjne oraz zależności od dostawców i usług zewnętrznych.

Projekt Systemu Zarządzania Bezpieczeństwem Informacji

Na podstawie wyników analizy projektujemy model SZBI dostosowany do struktury i sposobu działania organizacji.

Prace obejmują:

• określenie ról i odpowiedzialności,
• ustanowienie polityki bezpieczeństwa informacji,
• zdefiniowanie celów bezpieczeństwa,
• opracowanie metodyki oceny ryzyka,
• ustalenie zasad postępowania z ryzykiem,
• określenie sposobu monitorowania i raportowania,
• zaprojektowanie procesu audytów wewnętrznych,
• zaprojektowanie przeglądów zarządzania,
• określenie zasad postępowania z niezgodnościami.

Dokumentacja jest przygotowywana w odniesieniu do rzeczywistych procesów organizacji. Jej zakres i poziom szczegółowości zależą od wielkości organizacji, charakteru działalności oraz złożoności środowiska informacyjnego.

Ocena ryzyka bezpieczeństwa informacji

Opracowujemy lub dostosowujemy metodykę zarządzania ryzykiem, a następnie wspieramy organizację w przeprowadzeniu oceny ryzyka.

Proces obejmuje:

• identyfikację informacji, procesów i systemów objętych SZBI,
• określenie właścicieli ryzyka,
• identyfikację zagrożeń i podatności,
• ocenę prawdopodobieństwa i skutków,
• określenie poziomu ryzyka,
• wybór sposobu postępowania z ryzykiem,
• przygotowanie planu postępowania z ryzykiem.

Na podstawie wyników analizy opracowywana jest Deklaracja Stosowania, wskazująca zabezpieczenia przyjęte przez organizację oraz uzasadnienie ich zastosowania lub wyłączenia.

Opracowanie dokumentacji

Przygotowujemy dokumentację niezbędną do ustanowienia i funkcjonowania SZBI. W zależności od przyjętego zakresu dokumentacja obejmuje:

• politykę bezpieczeństwa informacji,
• metodykę oceny ryzyka,
• rejestr ryzyka,
• plan postępowania z ryzykiem,
• Deklarację Stosowania,
• cele i mierniki bezpieczeństwa,
• zasady klasyfikacji informacji,
• zarządzanie dostępem i uprawnieniami,
• zarządzanie aktywami, incydentami i podatnościami,
• bezpieczeństwo relacji z dostawcami,
• zarządzanie zmianą,
• ciągłość działania i odtwarzanie po awarii,
• audyty, przeglądy i działania korygujące.

Jeżeli organizacja posiada już odpowiednie polityki i procedury, poddajemy je przeglądowi i dostosowujemy zamiast tworzyć równoległą dokumentację.

Wdrożenie procesów i zabezpieczeń

Wspieramy właścicieli procesów w przełożeniu wymagań SZBI na działania operacyjne.

Pomoc obejmuje:

• ustalenie właścicieli działań,
• przygotowanie planu wdrożenia,
• priorytetyzację zabezpieczeń,
• dostosowanie procesów organizacyjnych,
• wdrożenie mechanizmów raportowania,
• określenie sposobu gromadzenia dowodów,
• monitorowanie realizacji działań,
• ocenę skuteczności wdrożonych zabezpieczeń.

Zakres wdrożenia technicznego jest każdorazowo ustalany z uwzględnieniem środowiska IT organizacji i wyników oceny ryzyka.

Szkolenia i budowanie świadomości

Przygotowujemy szkolenia dla kadry zarządzającej, osób odpowiedzialnych za SZBI oraz pozostałych pracowników.

Szkolenia obejmują obowiązki wynikające z przyjętych polityk i procedur, sposób zgłaszania incydentów oraz zasady bezpiecznego przetwarzania informacji.

Ocena gotowości do certyfikacji

Przed rozpoczęciem audytu certyfikacyjnego oceniamy, czy System Zarządzania Bezpieczeństwem Informacji został prawidłowo zaprojektowany, wdrożony i udokumentowany.

Ocena obejmuje:

• przegląd dokumentacji,
• rozmowy z właścicielami procesów,
• weryfikację dowodów funkcjonowania SZBI,
• ocenę realizacji planu postępowania z ryzykiem,
• sprawdzenie wykonania audytu wewnętrznego,
• sprawdzenie przeprowadzenia przeglądu zarządzania,
• identyfikację potencjalnych niezgodności.

Rezultatem jest raport oraz lista działań, które powinny zostać zakończone przed audytem certyfikacyjnym.

Audyt wewnętrzny

Przeprowadzamy audyt wewnętrzny SZBI albo wspieramy funkcję audytu wewnętrznego działającą w organizacji.

Zakres audytu ustalany jest z zachowaniem wymaganej niezależności i bezstronności. Jeżeli uczestniczyliśmy bezpośrednio we wdrożeniu określonych elementów SZBI, sposób realizacji audytu uzgadniamy tak, aby nie dochodziło do oceny własnej pracy.

Wsparcie podczas audytu certyfikacyjnego

Wspieramy organizację w przygotowaniu do współpracy z wybraną jednostką certyfikującą.

Zakres wsparcia obejmuje:

• pomoc w przygotowaniu dokumentacji i dowodów,
• przygotowanie właścicieli procesów do rozmów z audytorami,
• wyjaśnienie ustaleń audytowych,
• analizę stwierdzonych niezgodności,
• przygotowanie planu działań korygujących,
• wsparcie w usunięciu niezgodności.