Jak przygotować się do pierwszego audytu certyfikacyjnego ISO 27001?

Zacznij od zakresu i dowodów, a nie od dokumentów dla samych dokumentów. Najpierw ustal zakres: jaką organizację, lokalizacje, usługi i systemy obejmie certyfikat, dobrane tak, by miały znaczenie dla klientów i dało się projekt ukończyć. Potem wykonaj podstawową pracę wymaganą przez normę: ocenę ryzyka i plan postępowania z nim, deklarację stosowania, obowiązkowe polityki i procedury, przypisane role, świadomość pracowników i zabezpieczenia, które naprawdę działają. Pozwól im działać wystarczająco długo, żeby powstały zapisy, takie jak przeglądy uprawnień, zatwierdzenia zmian, zgłoszenia incydentów, weryfikacje dostawców i przeglądy monitoringu, bo audytorzy sprawdzają dowody działania, a nie zamiary. Przed audytem zewnętrznym przeprowadź audyt wewnętrzny i przegląd zarządzania, a ustalenia napraw. Audyty certyfikacyjne zwykle odbywają się w dwóch etapach: najpierw przegląd dokumentacji i gotowości, potem ocena, czy system działa w praktyce. Wybierz akredytowaną jednostkę certyfikującą i oddziel konsultanta, który Ci pomaga, od audytora. W zakresie zabezpieczeń monitoringu częścią dowodów mogą być mapa sieci, historia alertów, dziennik audytu i raporty zgodności w PDF z NetSenX; NetSenX niczego nie audytuje ani nie certyfikuje.

← Wszystkie pytania (15): Normy bezpieczeństwa: ISO 27001, SOC 2Wszystkie tematy