GAP analiza ISO 27001 primerja obstoječe stanje organizacije z zahtevami standarda (točke 4 do 10 in kontrole iz Priloge A) in pokaže vrzeli, prednostne naloge ter ocenjen obseg dela. Ni certifikacija in ni dokaz skladnosti.
Kaj preverjamo
GAP analiza ima dva dela. Prvi so zahteve upravljanja sistema (točke 4 do 10 standarda), drugi kontrole iz Priloge A.
Zahteve sistema upravljanja
- Kontekst in obseg: zainteresirane strani, zakonske in pogodbene zahteve, meje sistema.
- Vodenje: politika, vloge in odgovornosti, podpora vodstva.
- Tveganja: metodologija, register tveganj, načrt obravnave, izjava o uporabnosti.
- Podpora: viri, usposobljenost, ozaveščenost, komuniciranje, dokumentirane informacije.
- Delovanje: izvajanje načrtovanih ukrepov in redna ocena tveganj.
- Vrednotenje: spremljanje, notranja presoja, vodstveni pregled.
- Izboljševanje: neskladnosti, korektivni ukrepi.
Kontrole iz Priloge A
Priloga A v izdaji iz leta 2022 vsebuje 93 kontrol v štirih sklopih: organizacijske, ljudje, fizične in tehnološke. Za vsako kontrolo se ugotovi, ali je uporabna, uvedena in ali obstajajo dokazi o delovanju.
Kako poteka
- Dogovor o obsegu in dostopu do dokumentov.
- Pregled dokumentacije.
- Intervjuji z lastniki procesov (IT, kadri, nabava, pravo, vodstvo).
- Vzorčenje zapisov.
- Ocena po lestvici, na primer: ni uvedeno, delno, uvedeno, uvedeno in dokazljivo.
- Poročilo z vrzelmi, prednostmi in priporočenim zaporedjem dela.
Kaj dobite
| Izhod | Namen |
|---|---|
| Matrika skladnosti | pregled po točkah in kontrolah |
| Seznam vrzeli | z oceno resnosti |
| Prednostni načrt | kaj najprej, kaj lahko počaka |
| Ocena obsega dela | podlaga za proračun in termine |
Česa GAP analiza ni
GAP analiza ni certifikacija, ni izjava o skladnosti in ni garancija izida zunanje presoje. Je ocena stanja na dan pregleda, ki temelji na predloženih dokazih.
Pogoste napake
- obseg je preširok ali preozek glede na dejanski namen,
- ocena temelji samo na dokumentih, brez intervjujev,
- vrzeli so navedene brez prednostnega zaporedja,
- poročilo ostane brez lastnikov ukrepov.
Podrobnosti storitve so na strani GAP analiza.
Pogosta vprašanja
Kdaj je GAP analiza smiselna?
Pred začetkom uvedbe, ko želite oceniti obseg dela, ali pred certifikacijo, ko želite vedeti, kaj še manjka.
Ali je GAP analiza isto kot notranja presoja?
Ne. GAP analiza je enkratna ocena vrzeli pred uvedbo ali ob večji spremembi. Notranja presoja je redna zahteva sistema, ki preverja delovanje uvedenega sistema.
Ali GAP analiza prinese certifikat?
Ne. Certifikat lahko izda le akreditiran certifikacijski organ.
Viri
Članek je strokovni povzetek in ne nadomešča pravnega mnenja. Obveznosti so odvisne od položaja posamezne organizacije.