Audytorzy wiodący ISO 27001 i konsultanci wdrożeń SZBI

Konsultanci wdrożeniowi Digiventi dołączają do organizacji, aby wdrożyć system zarządzania bezpieczeństwem informacji (SZBI) zgodny z ISO/IEC 27001:2022. Porównują obecne praktyki z wymaganiami punktów 4–10 normy i przygotowują listę zadań wdrożeniowych z priorytetami.

Prace obejmują określenie zakresu SZBI i kontekstu organizacji, a następnie opracowanie polityk bezpieczeństwa oraz przypisanie odpowiedzialności. Konsultanci uzgadniają z właścicielami procesów zasady nadzoru nad dokumentacją i wymagane dowody działania. W istniejącym SZBI analiza luk wskazuje niespełnione wymagania oraz zmiany potrzebne przed audytem.

Konsultanci SZBI przekładają udokumentowane ryzyka na decyzje o zabezpieczeniach, które właściciele biznesowi mogą zatwierdzić, a inżynierowie wdrożyć.

• Ocena ryzyka i postępowanie z ryzykiem: Ustalają kryteria oceny, oceniają ryzyka bezpieczeństwa informacji, przypisują właścicieli ryzyka i dokumentują decyzje dotyczące postępowania z nim wraz z kryteriami akceptacji.
• Deklaracja stosowania: Dokumentują niezbędne zabezpieczenia i uzasadniają uwzględnienie lub wyłączenie zabezpieczeń z załącznika A. Uzgadniają z osobami odpowiedzialnymi dowody wdrożenia, w tym przeglądy uprawnień i weryfikację bezpieczeństwa dostawców.

Dokumentacja łączy zidentyfikowane ryzyka z odpowiedzialnością za zabezpieczenia oraz dowodami ich wdrożenia.

Audytorzy wiodący ISO 27001 planują i przeprowadzają audyty wewnętrzne według wytycznych ISO 19011. Badają próbki dowodów oraz prowadzą rozmowy z właścicielami procesów, aby ocenić zgodność z wymaganiami SZBI. Każdą niezgodność odnoszą do konkretnego kryterium audytu.

Przeglądy gotowości przed pierwszym lub drugim etapem audytu certyfikacyjnego sprawdzają, czy dokumentacja odpowiada rzeczywistej praktyce. Przydział audytorów musi zapewniać obiektywność i bezstronność, w tym niezależność od ocenianych działań. Decyzję o certyfikacji podejmuje jednostka certyfikująca; specjaliści Digiventi wspierają przygotowanie i ocenę wewnętrzną.

Konsultanci SZBI wspierają bieżące obowiązki po wdrożeniu, w tym ponowną ocenę ryzyka i aktualizacje po zmianach systemów lub dostawców. Pomagają właścicielom procesów utrzymywać dowody działania oraz przygotowywać dane do przeglądu zarządzania na podstawie skuteczności zabezpieczeń.

Po stwierdzeniu niezgodności specjaliści badają przyczyny źródłowe i określają działania korygujące wraz z odpowiedzialnością za ich wykonanie. Przed zamknięciem niezgodności sprawdzają, czy działania usunęły jej przyczynę. Wsparcie obejmuje również przygotowanie do audytów nadzoru oraz zamykanie zaległych niezgodności w działającym SZBI.