Pred presojo potrdite obseg sistema, uskladite dokumentacijo z dejanskim stanjem, zberite zapise (ocena tveganj, incidenti, usposabljanja, pregledi dostopov) in obvestite intervjuvance. Ne popravljajte zapisov za nazaj: presoja naj prikaže dejansko stanje.
1. Potrdite obseg in meje sistema
Preverite, ali je obseg ISMS (točka 4.3) še točen: lokacije, procesi, sistemi, zunanji izvajalci. Če se je od zadnje presoje spremenilo kaj bistvenega, na primer selitev v oblak ali nov produkt, naj se to vidi v dokumentih.
2. Preglejte ključno dokumentacijo
- politika informacijske varnosti,
- ocena tveganj in načrt obravnave tveganj,
- izjava o uporabnosti z utemeljitvami,
- cilji informacijske varnosti in kazalniki,
- pravila za dostope, varnostne kopije, spremembe in dobavitelje.
Pri vsakem dokumentu preverite lastnika, verzijo, datum zadnjega pregleda in skladnost z dejansko prakso.
3. Zberite zapise o delovanju
Zapisi so dokaz, da sistem deluje. Pripravite:
- poročilo o zadnji oceni tveganj in sprejetje preostalih tveganj,
- evidenco incidentov in analizo vzrokov,
- zapise o izobraževanju in ozaveščanju,
- preglede uporabniških pravic,
- teste obnove iz varnostnih kopij,
- ocene ključnih dobaviteljev,
- zapisnik zadnjega vodstvenega pregleda.
4. Preverite odprte ukrepe
Pregled odprtih korektivnih ukrepov iz prejšnje presoje je običajno prva stvar, ki jo presojevalec vpraša. Ukrep naj ima odgovorno osebo, rok in dokaz o izvedbi.
5. Pripravite ljudi
Intervjuvance obvestite o terminu in namenu. Presoja ni preizkus posameznika: sprašuje se po procesu, ne po napakah ljudi. Zaposleni naj znajo razložiti, kje najdejo politiko in kako prijavijo incident.
6. Dogovorite logistiko
Termin, prostori, dostop do sistemov v načinu branja, kontaktna oseba, način shranjevanja dokazov. Pri presoji na daljavo vnaprej preverite varno izmenjavo dokumentov.
Kontrolni seznam v enem pogledu
| Vprašanje | Da/Ne |
|---|---|
| Je obseg ISMS aktualen? | |
| Ima vsak dokument lastnika in datum pregleda? | |
| So zapisi za celotno obdobje presoje na voljo? | |
| Je bil izveden vodstveni pregled? | |
| So odprti ukrepi iz prejšnje presoje zaprti ali načrtovani? | |
| Je presojevalec nepristranski? |
Pogoste napake
- zapisi se »dopolnijo« za nazaj,
- dokumenti opisujejo procese, ki jih nihče ne izvaja,
- izjava o uporabnosti ni usklajena z oceno tveganj,
- priprava se omeji na IT, čeprav obseg vključuje kadre, pravo in nabavo.
Če potrebujete pomoč pri pripravi, si oglejte pripravo dokumentacije ali svetovalni pregled ISO 27001.
Pogosta vprašanja
Koliko časa pred presojo naj začnemo s pripravo?
Za manjšo organizacijo z delujočim sistemom zadoščata dva do štirje tedni. Če sistem ni bil nikoli presojan, načrtujte več časa za popravke.
Ali smemo dokumente popraviti tik pred presojo?
Dokumente lahko posodobite, če so zastareli, vendar zapisov (dnevnikov, evidenc, poročil) ne smete ustvarjati za nazaj. Presojevalec preverja delovanje, ne le obstoj dokumentov.
Viri
Članek je strokovni povzetek in ne nadomešča pravnega mnenja. Obveznosti so odvisne od položaja posamezne organizacije.