Audity

Audit je overenie, či to, čo máte v dokumentácii, naozaj funguje aj v prevádzke. Robíme tri druhy a líšia sa tým, kto ich vyžaduje a komu sa výstup predkladá — nie tým, čo sa pri nich pozerá.

Väčšina klientov k nám prichádza s jedným z nich a odchádza s tým, že sa dajú pokryť spoločným základom: jedným registrom aktív, jedným hodnotením rizík a jednou sadou opatrení.

Čoho sa audit môže týkať

• Zákon o kybernetickej bezpečnosti. Audit vykonáva certifikovaný audítor. Prvý sa robí najneskôr 24 mesiacov od zápisu do registra NBÚ; každý ďalší musí byť ukončený do konca tretieho kalendárneho roka nasledujúceho po roku, v ktorom sa skončil predchádzajúci audit. Prevádzkovateľ základnej služby, ktorý nie je prevádzkovateľom kritickej základnej služby a vykonáva samohodnotenie, má do konca piateho kalendárneho roka. Podrobne je to rozobraté na stránke Zákon o kybernetickej bezpečnosti.

• Samohodnotenie. Nevykonáva ho externý audítor, ale manažér kybernetickej bezpečnosti subjektu, a opakuje sa raz za 2 roky. Je to mechanizmus pre prevádzkovateľa základnej služby, ktorý nie je kritický: pravidelnými samohodnoteniami si predlžuje interval auditu až do konca piateho kalendárneho roka. Vedieme ho metodicky.

• Interný audit systému riadenia. Pri ISO/IEC 27001 je povinný pred certifikáciou a opakuje sa aj potom. So zákonom nesúvisí — vyžaduje ho norma.

• Previerka pripravenosti pred externým auditom. Prejdeme to, čo bude audítor otvárať ako prvé, a odchýlky sa dajú odstrániť skôr, než sa z nich stanú nálezy.

Čo dostanete

• Správu s konkrétnymi zisteniami, nie so zoznamom paragrafov — každé zistenie naviazané na to, čo ho spôsobilo.

• Odchýlky zoradené podľa závažnosti a s odhadom prácnosti na odstránenie.

• Podklady v štruktúre, ktorú audítor alebo certifikačný orgán očakáva, aby sa audit nezačínal hľadaním dokumentov.

• Záznam o vykonaní v podobe, ktorá sa dá predložiť ako dôkaz.

• Pri samohodnotení metodické vedenie a kontrolu výstupu skôr, než ho podpíšete.

Kde nájdete podrobnosti

Táto stránka je prehľad služby. Podrobne — vrátane toho, kto pod zákon spadá, aké lehoty bežia od zápisu a čím sa líšia jednotlivé režimy — je to rozpísané na stránke Zákon o kybernetickej bezpečnosti. Tá sa venuje výhradne auditu podľa zákona; na audity podľa ISO a na interné audity sa nevzťahuje.