Úspěšný audit ISO/IEC 27001

V lednu jsme úspěšně absolvovali pravidelný dozorový audit systému řízení informační bezpečnosti podle normy ISO/IEC 27001. Audit prováděl nezávislý certifikační orgán a trval dva dny. Výsledek: bez neshody, s několika doporučeními ke zlepšení, která už zapracováváme.

Co auditor kontroloval

Dozorový audit není kontrola papírů. Auditor si vybírá vzorky z reálného provozu a ověřuje, zda jsme dělali to, co máme ve směrnicích. Letos se zaměřil hlavně na:

• Řízení přístupů. Kdo má přístup ke klientským systémům, kdo ho schválil a kdy byl naposledy revidován. Vybral si několik konkrétních klientů a zkontroloval celou stopu.
• Zálohování a obnovu. Neptal se jen, zda zálohujeme. Chtěl vidět záznam z posledního testu obnovy a porovnání reálného času obnovy s dohodnutým RTO.
• Řešení incidentů. Prošli jsme vybrané bezpečnostní události z minulého roku: jak jsme je zachytili, kdo je řešil, jak rychle a jaká opatření z nich vzešla.
• Dodavatele. Jak hodnotíme třetí strany, které mají přístup k datům, například poskytovatele cloudu a datového centra.
• Lidi. Bezpečnostní školení, onboarding nových kolegů a proces při odchodu zaměstnance.

Co jsme od loňska zlepšili

Certifikace má smysl jen tehdy, když se systém posouvá. Za poslední rok jsme mimo jiné:

• zavedli povinné vícefaktorové ověření na všech administrátorských účtech včetně klientských prostředí,
• zkrátili interval revize privilegovaných přístupů z čtvrtletního na měsíční,
• rozšířili pravidelné testy obnovy ze serverů i na Microsoft 365 a cloudové databáze,
• zavedli phishingové simulace pro celý tým každé čtvrtletí.

Co to znamená pro vás jako klienta

Pokud jste naším klientem, výsledek auditu je nezávislé potvrzení, že s vašimi daty a systémy pracujeme podle prověřených pravidel. Prakticky to pomáhá hlavně ve dvou situacích:

1. Když se vás na dodavatele ptá váš zákazník nebo auditor. Například u NIS2, v automobilovém průmyslu nebo ve financích. Certifikát a prohlášení o aplikovatelnosti vám na požádání poskytneme.
2. Když se něco stane. Postupy při incidentu nejsou improvizace. Jsou vyzkoušené a zdokumentované a víte, kdy a jak vás budeme informovat.

Aktuální certifikát ve slovenštině i angličtině si můžete stáhnout v části Dokumenty ke stažení. Více o tom, jak funguje náš ISMS, najdete na stránce ISO/IEC 27001.

Připravujete se na certifikaci sami nebo řešíte požadavky NIS2? S gap analýzou a přípravou na audit vám rádi pomůžeme. Víme, co auditor opravdu kontroluje, protože tím každý rok procházíme i my.