Usluge
Dokumenti koje ljudi koriste i procesi koji funkcioniraju.
Sigurnosne politike, procedure i planovi nisu sami sebi svrha. Njihova je vrijednost u tome što jasno određuju odgovornosti, usmjeravaju postupanje, smanjuju ovisnost o pojedincima i omogućuju dosljednu provedbu sigurnosnih mjera.
Dokumentacija izrađena samo radi zadovoljavanja zahtjeva standarda ili prolaska audita često ostaje mrtvo slovo na papiru. Zato dokumente ne promatramo odvojeno od poslovnih procesa koje trebaju podržavati.
Cilj nije proizvesti što više dokumenata, nego uspostaviti pravila koja se razumiju, koriste i mogu provjeriti.
Ovisno o djelatnosti, veličini, rizicima i primjenjivim zahtjevima organizacije, izrađujemo, prilagođavamo i provjeravamo:
politika informacijske sigurnosti, upravljanje pristupom, prihvatljiva uporaba resursa, klasifikacija informacija i druga organizacijska pravila.
dodjela i ukidanje pristupa, upravljanje promjenama, ranjivostima, sigurnosnim kopijama i drugim operativnim aktivnostima.
odgovor na sigurnosne incidente, kontinuitet poslovanja, oporavak sustava i postupanje u kriznim situacijama.
imovina, rizici, dobavljači, incidenti, provedene kontrole i druge informacije potrebne za upravljanje sigurnošću.
procjene rizika, planovi obrade rizika, izjave o primjenjivosti (SoA) i akcijski planovi usklađivanja.
odobrenja, izvještaji, rezultati testiranja, evidencije provjera i korektivnih radnji.
Nije za svaku kontrolu potreban zaseban dokument. Pristup prilagođavamo organizaciji, izbjegavajući nepotrebno administrativno opterećenje.
Politika propisuje da se zaposleniku po prestanku radnog odnosa moraju ukinuti pristupna prava.
Ali tko pokreće postupak? Kada IT dobiva obavijest? Tko ukida pristup VPN-u, poslovnim aplikacijama i cloud servisima? Tko provjerava jesu li pristupi zaista ukinuti?
Dobra procedura povezuje sve te korake, jasno dodjeljuje odgovornosti i omogućuje provjeru provedbe.
Dokumentacija može propisivati svakodnevnu izradu sigurnosnih kopija. Sustav pritom može uredno prijavljivati uspješno izvršavanje.
Ali može li se poslovni sustav zaista oporaviti? Koliko traje oporavak? Jesu li podaci potpuni i upotrebljivi?
Tek provjera obnove podataka potvrđuje da sigurnosne kopije ispunjavaju svoju svrhu.
Naš pristup temelji se na pet načela:
Razumijemo postojeće poslovne procese prije definiranja novih pravila.
Dokumenti moraju biti razumljivi ljudima koji ih primjenjuju.
Gdje je moguće, koristimo postojeće alate, sustave i evidencije umjesto dodatnih administrativnih postupaka.
Ne pretpostavljamo da proces funkcionira samo zato što je opisan.
Dokumentaciju ažuriramo kada se mijenjaju sustavi, procesi, rizici ili zahtjevi.
Audit ne bi trebao završiti provjerom postojanja dokumenata.
Auditor nastoji utvrditi:
Postoje li odgovarajuća pravila, odgovornosti i postupci?
Postoje li dokazi da organizacija zaista radi prema definiranim pravilima?
Ostvaruju li procesi i kontrole svoju svrhu?
Dokaz provedbe ne mora biti potpisani dokument. To mogu biti konfiguracije sustava, zapisi o promjenama, zahtjevi za odobrenje, rezultati testiranja ili drugi vjerodostojni operativni podaci.
Dokumentacija i dokazi pritom moraju odgovarati primjenjivim zahtjevima standarda ili propisa, poput ISO/IEC 27001, ISO 22301 i ZKS/UKS.
Razlika između onoga što je napisano i onoga što se stvarno radi često je upravo mjesto na kojem audit otkriva najvažnije slabosti.
Kontakt
Pomažemo organizacijama uspostaviti potrebnu dokumentaciju, pregledati i unaprijediti postojeće politike i procedure te povezati zahtjeve usklađenosti sa stvarnim poslovnim procesima.
Ne izrađujemo dokumentaciju radi dokumentacije. Naš je cilj uspostaviti praktičan, održiv i provjerljiv sustav upravljanja sigurnošću.
Dokumentacija treba pomagati organizaciji i onda kada konzultant ili auditor nisu prisutni.