Priprema za reviziju
Revizor ne traži dobru volju, nego zapis. Posložimo dokumentaciju, provjerimo je onako kako će je proći revizor i pripremimo upravu za razgovor.
Zašto priprema, a ne improvizacija
Revizija ne provjerava imate li dokumente, nego možete li pokazati da se po njima radi.
Priprema je posao na zapisima, a ne na dokumentima, jer revizor traži dokaz da se po dokumentu doista radilo. Kako revizor ocjenjuje, u kojem roku dolazi i kako sam postupak teče, piše na stranici o reviziji kibernetičke sigurnosti.
Radimo dok svaki dokaz nema datum, ime i mjesto u zbirci, jer se do tada ne može pokazati ni kad je nastao ni tko za njega odgovara.
Kako izgleda priprema
Sedam koraka, od pregleda zatečenog stanja do interne provjere po istim formulama koje koristi revizor.
Pregled postojeće dokumentacije i zapisa
Prolazimo kroz sve što imate i razdvajamo dokumente od dokaza o primjeni. Ovo je najčešće trenutak u kojem se vidi da dokumenata ima dovoljno, a zapisa iza njih gotovo nema.
Analiza nedostataka po kontrolama
Za svaku kontrolu koja Vas obvezuje procjenjujemo dokumentaciju i provedbu istom ljestvicom od 1 do 5 kojom to radi revizor, i uspoređujemo s pragovima za Vašu razinu mjera. Rezultat je popis kontrola koje danas ne bi prošle.
Popis dokaza kojih nema, poredan po hitnosti
Nedostatke slažemo po tome koliko traju i koliko koštaju, jer nešto se popravi u tjedan dana, a nešto traži novi ciklus obuke ili izmjenu ugovora. Popis dobiva nositelja i datum, inače ostaje želja.
Uređenje zbirke po mjerama i podmjerama
Dokaze slažemo onako kako će ih revizor tražiti, po mjeri i podmjeri, a ne po mapama u kojima su nastali. Uz svaki dokaz stoji na koju se kontrolu odnosi, tko ga je izradio i kad.
Popunjavanje najvećih praznina
Pišemo ono što nedostaje i, važnije, pokrećemo ono što mora ostaviti trag: provjeru prava pristupa, testiranje pričuvnih kopija, obuku, simulacijsku vježbu. Dokument bez tog traga ne prolazi.
Interna provjera spremnosti
Prolazimo kroz zbirku onako kako će je proći revizor, s istim formulama bodovanja i istim pitanjima. Nalaz dobivate Vi, a ne nadležno tijelo, pa ima vremena za popravke.
Priprema uprave i nositelja mjera za razgovor
Prolazimo tipična pitanja po mjerama i pomažemo vlasnicima da znaju gdje im je dokaz i kako ga pokazati, bez improvizacije pred revizorom.
Što revizor traži prvo
Prve tri stavke revizor traži odmah. Ako one stoje, ostatak razgovora ide mirno. Ako ne stoje, sve se drugo propituje.
- Inventar kritične imovine, s odgovornom osobom i lokacijom
- Registar rizika s vlasnikom, vjerojatnošću i utjecajem
- Zapisi o incidentima i o prijavama u zakonskim rokovima
- Strateški akt kibernetičke sigurnosne politike, s datumom usvajanja
- Zapisnik sjednice na kojoj je uprava odobrila mjere
- Popis izravnih dobavljača i sigurnosne odredbe u ugovorima
- Zapisi o provjeri prava pristupa u zadnjem ciklusu
- Zapisi o testiranju pričuvnih kopija i planova oporavka
- Popis sudionika i datumi provedenih obuka
- Zapisi o provjerama ranjivosti i primjeni zakrpa
- Dnevnički zapisi za razdoblje koje traži podmjera 5.6
- Zapis o godišnjem izvještavanju uprave o stanju kibernetičke sigurnosti
Česta pitanja
Pitanja koja nam najčešće postave prije nego što krenemo.
Provodite li Vi reviziju?
Ne. Riskoria nema nacionalni sigurnosni certifikat za reviziju i ne provodi reviziju usklađenosti. Radimo pripremu, što je odvojena uloga i sprječava sukob interesa. Pomažemo Vam i pronaći revizora.Koliko traje priprema?
Snimka stanja traje dva do tri tjedna, a popunjavanje nedostataka od dva do šest mjeseci, ovisno o veličini i zatečenom stanju. Ono što traži novi ciklus, primjerice godišnju provjeru ili testiranje planova, ne može se ubrzati.Kada krenuti?
Barem šest mjeseci prije revizije, a u javnoj upravi godinu dana, jer nabava i proračun traju. Priprema u zadnji čas svodi se na pisanje dokumenata bez zapisa iza njih, a upravo se to najlakše prepozna.Koliko dokumentacije obično nedostaje?
Analiza gotovo uvijek pokaže da veći dio potrebnih zapisa nedostaje, i to češće dokazi o primjeni nego sami dokumenti. Zato pripremu vodimo od zapisa prema dokumentu, a ne obrnuto.Tko sve sudjeluje u internoj provjeri?
Vlasnici pojedinih mjera i uprava. Svatko prolazi svoj dio zbirke i pitanja koja uz njega idu.Pomaže li nam ISO 27001 certifikat?
Pomaže, ali ne zamjenjuje ocjenjivanje. Revizor i dalje ocjenjuje svaku kontrolu, a Vaš certifikat, izjava o primjenjivosti i izvještaji internih revizija ulaze kao dokazi u to ocjenjivanje. Za mjeru kontinuiteta na isti način pomaže ISO 22301.Moramo li obavijestiti nekoga da radimo pripremu?
Ne. Priprema je Vaš interni posao, a najavu same revizije radi revizor, ne Vi.Povezane stranice
Pojmovi, rokovi i sam postupak revizije objašnjeni su na ovim stranicama.
Iz bloga: ZKS
Tri najnovija teksta o Zakonu, mjerama i reviziji.
Provjerimo Vašu zbirku dokaza prije nego što to učini revizor.
Pola sata, bez obveze. Kažete nam što imate na papiru, a mi Vam kažemo kako će to izgledati revizoru.