Priprava dokumentacije
Politike, postopki in zapisi, ki jih presojevalec pričakuje.
Katero težavo rešujemo
Dokumenti so pogosto splošni, prekopirani ali pa jih nihče ne uporablja. Ob presoji ni jasno, kdo je kaj odobril in kje je dokaz.
Zakaj je to pomembno
Dokumentacija mora opisovati dejansko delo, ne želenega. Dobro pripravljeni dokumenti zmanjšajo število ugotovitev ob presoji in pomagajo novim zaposlenim razumeti pravila.
Za koga je
- Organizacije, ki začenjajo z uvedbo sistema upravljanja.
- Organizacije, ki imajo dokumente, a niso povezani med seboj ali z dejanskim delom.
- Organizacije, ki morajo dokazati ukrepe po ZInfV-1 / NIS2.
Kaj obsega delo
- Politika informacijske varnosti in ključne tematske politike.
- Postopki za incidente, dostope, spremembe in dobavitelje.
- Metodologija in register tveganj ter izjava o uporabnosti.
- Seznam zapisov, ki jih je treba hraniti, z rokom hrambe in odgovorno osebo.
- Usklajenost dokumentov med seboj in z dejansko prakso.
Potek dela
Pregled obstoječih dokumentov in zapisov.
Določitev strukture dokumentov in odgovornosti.
Priprava osnutkov skupaj z lastniki procesov.
Pregled, potrditev in uvedba v prakso.
Kaj potrebujemo od vas
- Obstoječi dokumenti, če obstajajo.
- Imena odgovornih oseb za posamezna področja.
- Seznam sistemov, procesov in ključnih dobaviteljev.
Kaj prejmete
- Predloge politik in postopkov, prilagojene organizaciji.
- Metodologija ocene tveganj, register tveganj in izjava o uporabnosti.
- Seznam zapisov z odgovornostmi.
Kaj ni vključeno in kje so meje
- Pravni pregled dokumentov in pogodb.
- Vsakodnevno vodenje dokumentacije v organizaciji.
- Presoja dokumentacije (notranja presoja je naloga organizacije ali presojevalca, ki ga izbere).
Dokumenti morajo odražati dejansko delo organizacije. Njihova pravna veljavnost ni predmet te storitve, certifikacije pa ne zagotavljajo.
Pogosta vprašanja
Ali dobim gotove predloge?
Dobite predloge, prilagojene vaši organizaciji. Splošne predloge iz interneta pogosto ne ustrezajo dejanskemu delu in jih presojevalec hitro prepozna.
Koliko dokumentov zahteva ISO/IEC 27001?
Standard zahteva določene dokumentirane informacije, na primer obseg, politiko, metodologijo tveganj, izjavo o uporabnosti in zapise. Obseg preostale dokumentacije je odvisen od velikosti in zahtevnosti organizacije.
Ali lahko dokumentacijo pripravite brez GAP analize?
Priporočamo GAP analizo kot prvi korak, ker pokaže, kaj že obstaja. Pri majhnih organizacijah ju je mogoče združiti, vendar to dogovorimo vnaprej.
Uradni viri
Potrebujete svetovalni pregled ali pomoč pri pripravi na skladnost?
Opišite organizacijo in izziv. Predlagamo smiseln obseg dela, brez obvezujočih obljub o rezultatu.