• admin@kibc
• 19 października 2023
• Brak komentarzy

Audyt Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) jest procesem oceny skuteczności oraz zgodności z przyjętymi normami, standardami, a także z politykami i procedurami organizacji. Powinien on dostarczyć kompleksowej oceny stanu bezpieczeństwa informacji. Do niezbędnych elementów audytu SZB zalicza się ocenę zgodności z normami i standardami:

Sprawdzenie, czy SZBI jest zgodne z odpowiednimi normami i standardami, takimi jak regulacje wewnętrzne organizacji, przepisy prawa regulujące działanie danego sektora, normy ISO 27001, ISO 27002 czy inne przepisy branżowe.

Ocena dokumentacji SZBI – przegląd i ocena wszystkich dokumentów związanych z SZBI, w tym polityki, procedury, plany działania, regulaminy, wytyczne itp. Weryfikacja, czy dokumentacja jest kompletna, aktualna i zrozumiała dla personelu.

Ocena zidentyfikowanych ryzyk – analiza dokumentacji dotyczącej identyfikacji i oceny ryzyka związanego z bezpieczeństwem informacji. Weryfikacja, czy ryzyka zostały właściwie zidentyfikowane i sklasyfikowane. Przegląd procesów zarządzania ryzykiem, w tym identyfikację ryzyka, analizę, plany działania oraz monitorowanie. Weryfikacja, czy ryzyka są właściwie zarządzane.

Ocena wdrożonych kontroli bezpieczeństwa – przegląd wdrożonych kontroli bezpieczeństwa informacji, takich jak kontrole dostępu, monitorowanie, zarządzanie incydentami itp. Weryfikacja, czy kontrole są skuteczne i spełniają założone cele.

Audyt techniczny – badanie techniczne systemów informatycznych i infrastruktury, w tym testy penetracyjne, ocena podatności oraz kontrole zabezpieczeń sieciowych.

Ocena działań w przypadku incydentów bezpieczeństwa: Przegląd procedur i działań, które organizacja podejmuje w przypadku incydentów bezpieczeństwa informacji. Weryfikacja, czy procedury są dostatecznie przygotowane i efektywne.

Ocena zarządzania dostępem – weryfikacja, czy kontrola dostępu do systemów i danych jest właściwie wdrożona i czy tylko uprawnione osoby mają dostęp do zasobów informacyjnych.

Ocena świadomości i szkoleń pracowników – przegląd stosowanych w organizacji programów edukacyjnych / realizowanych szkoleń oraz weryfikacja świadomości pracowników w zakresie bezpieczeństwa informacji. Weryfikacja, czy pracownicy są odpowiednio przeszkoleni i świadomi zagrożeń.
Ocena ciągłości działania – przegląd planów ciągłości działania i procesów przywracania w przypadku awarii lub incydentów. Weryfikacja, czy organizacja jest przygotowana do utrzymania działalności w przypadku zakłóceń. Raportowanie i rekomendacje – opracowanie raportu z wyników audytu, zawierającego zidentyfikowane problemy, zalecenia do poprawy oraz ewentualne ryzyka i słabości. Rekomendacje powinny pomóc organizacji w doskonaleniu SZBI.

Na co warto zwrócić uwagę przy wyborze audytora SZBI?

Wybór odpowiedniego audytora do przeprowadzenia audytu Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) jest kluczowy dla skuteczności procesu audytu i uzyskania wartościowych wyników. Kluczowe znaczenie ma doświadczenie i kwalifikacje audytora w dziedzinie bezpieczeństwa informacji. Istotne jest również rozumienie branży i charakteru działania organizacji w jakiej przeprowadzane będą czynności kontrolne. Ważne jest również, by ocenić, czy firma audytorska ma wystarczające zasoby i doświadczony zespół do przeprowadzenia audytu w terminie i z należytą starannością.

Decydując się na współpracę warto upewnić się, że audytor posiada wiedzę na temat norm i standardów związanych z bezpieczeństwem informacji, takich jak prawo nowych technologii, ochrona danych osobowych, standard ISO 27001 oraz doświadczenie w ich wdrażaniu lub kontrolowaniu. Audytor powinien działać niezależnie i bezstronnie. Należy upewnić się, że nie występuje konflikt interesów ani powiązania, które mogłyby wpłynąć na obiektywność i rzetelność przeprowadzonego audytu i tym samym podważyć jego wartość.

Jakie konsekwencje wynikają z niezgodności audytu SZBI z normą ISO 27001? Jakimi konsekwencjami to grozi?

Jeśli niezgodności w przeprowadzonym audycie dotyczą obszarów związanych z przepisami lub regulacjami branżowymi, organizacja może być narażona na ryzyko naruszenia przepisów i odpowiedzialności prawnej.

Jeśli audyt wykazał niezgodności w obszarze kontroli bezpieczeństwa informacji, organizacja może być bardziej podatna na zagrożenia i ryzyka związane z bezpieczeństwem informacji, takie jak ataki hakerskie, wycieki danych czy utrata informacji. Konsekwencją takiej sytuacji mogą być potencjalne straty finansowe. Należy również pamiętać, że poprawa zabezpieczeń informacji i dostosowanie się do normy ISO 27001 może wiązać się z kosztami. Brak zgodności może zmusić organizację do inwestycji w dodatkowe środki bezpieczeństwa informacji.

Niewątpliwie dużym problemem dla instytucji może być utrata zaufania klientów i partnerów biznesowych. Jeśli organizacja nie jest zgodna z normą ISO 27001, może to wpłynąć na postrzeganie jej jako niewiarygodnej lub niewystarczająco dbającej o bezpieczeństwo informacji. To może prowadzić do utraty zaufania klientów i partnerów biznesowych.

Może się zdarzyć sytuacja, że jeżeli organizacja posiada umowy kontraktowe, które wymagają zgodności systemu bezpieczeństwa z normą ISO 27001, niezgodność będzie skutkować naruszeniem tych umów, co również może prowadzić do konsekwencji prawnych i finansowych.

materiał przygotowany przez ekspertkę Krajowego Instytutu Cyberbezpieczeństwa Katarzynę Bernadettę Olszewską – prawniczkę, szkoleniowca z zakresu cyberbezpieczeństwa, bezpieczeństwa informacji oraz ochrony danych osobowych.