Audyt bezpieczeństwa — kto, kiedy i jak go przeprowadzić?

Obowiązek audytowy w ustawie

Art. 15 ust. 1 ustawy o krajowym systemie cyberbezpieczeństwa nakłada na podmioty kluczowe obowiązek przeprowadzania audytu bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata, na własny koszt. Cykl liczy się od dnia podpisania raportu z ostatniego audytu. Audyt ma na celu niezależną ocenę adekwatności i skuteczności wdrożonych środków zarządzania ryzykiem w cyberbezpieczeństwie.

Kwalifikacje audytora

Audyt może być przeprowadzony przez: (1) akredytowaną jednostkę oceniającą zgodność, (2) co najmniej dwóch audytorów posiadających wymagane certyfikaty lub praktykę, lub (3) CSIRT sektorowy, jeśli jego audytorzy spełniają te warunki (art. 15 ust. 2). Ustawa wymaga co najmniej dwóch audytorów — jeden audytor nie jest wystarczający.

• Certyfikat CIA (Certified Internal Auditor) lub CISA (Certified Information Systems Auditor)
• Certyfikat audytora wiodącego ISO/IEC 27001 wydany przez akredytowaną jednostkę certyfikującą
• Certyfikat audytora wiodącego ISO 22301 (zarządzanie ciągłością działania)
• Certyfikat CISM, CRISC, CGEIT, CISSP, SSCP, CRP
• Certyfikat ISA/IEC 62443 Cybersecurity Expert
• Kwalifikacje równoważne potwierdzone przez ministra właściwego do spraw informatyzacji

Zakres i przebieg audytu

Zakres audytu obejmuje kompleksową ocenę bezpieczeństwa organizacyjnego, technicznego i fizycznego podmiotu. Audytor weryfikuje zgodność wdrożonych środków z wymaganiami ustawy oraz adekwatność tych środków do zidentyfikowanego poziomu ryzyka.

Raport z audytu i dalsze kroki

Wyniki audytu ujmowane są w raporcie, który podmiot ma obowiązek przekazać organowi właściwemu do spraw cyberbezpieczeństwa. Raport powinien zawierać opis zastosowanej metodyki, wykryte niezgodności, ocenę ryzyka rezydualnego oraz rekomendacje działań naprawczych z określonymi terminami realizacji.

1. Przekaż kopię raportu z audytu organowi właściwemu w terminie 3 dni roboczych od jego otrzymania (art. 15 ust. 1a).
2. Opracuj plan działań naprawczych z konkretnymi terminami i osobami odpowiedzialnymi.
3. Wdróż rekomendacje o priorytecie krytycznym i wysokim w ciągu 90 dni.
4. Udokumentuj wdrożone działania naprawcze jako dowód dla kolejnego audytu.

Pomagamy we wdrożeniu KSC od identyfikacji statusu po pełny audyt.