Úspešný audit ISO/IEC 27001

V januári sme úspešne absolvovali pravidelný dozorový audit systému riadenia informačnej bezpečnosti podľa normy ISO/IEC 27001. Audit robil nezávislý certifikačný orgán a trval dva dni. Výsledok: bez nezhody, s niekoľkými odporúčaniami na zlepšenie, ktoré už zapracúvame.

Čo audítor kontroloval

Dozorový audit nie je kontrola papierov. Audítor si vyberá vzorky z reálnej prevádzky a overuje, či sme robili to, čo máme v smerniciach. Tento rok sa sústredil najmä na:

• Riadenie prístupov. Kto má prístup ku klientskym systémom, kto ho schválil a kedy sa naposledy revidoval. Vybral si niekoľko konkrétnych klientov a skontroloval celú stopu.
• Zálohovanie a obnovu. Nepýtal sa len, či zálohujeme. Chcel vidieť záznam z posledného testu obnovy a porovnanie reálneho času obnovy s dohodnutým RTO.
• Riešenie incidentov. Prešli sme vybrané bezpečnostné udalosti z minulého roka: ako sme ich zachytili, kto ich riešil, ako rýchlo a aké opatrenia z nich vzišli.
• Dodávateľov. Ako hodnotíme tretie strany, ktoré majú prístup k dátam, napríklad poskytovateľov cloudu a dátového centra.
• Ľudí. Bezpečnostné školenia, onboarding nových kolegov a proces pri odchode zamestnanca.

Čo sme zlepšili od minulého roka

Certifikácia má zmysel iba vtedy, ak sa systém posúva. Za posledný rok sme okrem iného:

• zaviedli povinné viacfaktorové overenie na všetkých administrátorských účtoch vrátane klientskych prostredí,
• skrátili interval revízie privilegovaných prístupov zo štvrťročného na mesačný,
• rozšírili pravidelné testy obnovy zo serverov aj na Microsoft 365 a cloudové databázy,
• zaviedli phishingové simulácie pre celý tím každý štvrťrok.

Čo to znamená pre vás ako klienta

Ak ste naším klientom, výsledok auditu je nezávislé potvrdenie, že s vašimi dátami a systémami pracujeme podľa preverených pravidiel. Prakticky to pomáha najmä v dvoch situáciách:

1. Keď sa vás na dodávateľov pýta váš zákazník alebo audítor. Napríklad pri NIS2, v automobilovom priemysle alebo vo financiách. Certifikát a vyhlásenie o aplikovateľnosti vám na požiadanie poskytneme.
2. Keď niečo nastane. Postupy pri incidente nie sú improvizácia. Sú odskúšané a zdokumentované a viete, kedy a ako vás budeme informovať.

Aktuálny certifikát v slovenčine aj angličtine si môžete stiahnuť v časti Dokumenty na stiahnutie. Viac o tom, ako funguje náš ISMS, nájdete na stránke ISO/IEC 27001.

Pripravujete sa na certifikáciu sami alebo riešite požiadavky NIS2? S gap analýzou a prípravou na audit vám radi pomôžeme. Vieme, čo audítor naozaj kontroluje, lebo tým každý rok prechádzame aj my.