Ръководство за одитни доказателства по поправката към ISO 27001 за изменението на климата

09:10 е сутринта на вашия надзорен одит по ISO/IEC 27001:2022. Одиторът вече е прегледал регистъра на риска, декларацията за приложимост, протоколите от прегледа от ръководството, регистъра на доставчиците и доклада от упражнението по непрекъсваемост на дейността. Тогава идва въпросът, който изненадва всички в залата:

„Покажете ми как определихте дали изменението на климата е релевантно за ISMS.“

CISO поглежда към мениджъра по съответствие. Мениджърът по съответствие отваря регистъра на правните и регулаторните изисквания. Някой споменава ESG. Друг казва, че доставчикът на центъра за данни има ISO сертификати. Одиторът изчаква.

Точно това е практическият пропуск в доказателствата, който поправката на ISO за системите за управление във връзка с изменението на климата създава. Поправката не изисква екипите по сигурност да стават климатолози, да изчисляват въглеродни емисии от облачни услуги или да създават декоративен „климатичен контрол за сигурност“. Тя задава много по-пряк въпрос към системата за управление: разгледала ли е организацията дали изменението на климата е релевантно за нейния контекст и дали заинтересованите страни имат свързани с климата изисквания, които засягат системата за управление?

За ISO/IEC 27001:2022 това означава, че доказателствата трябва да свързват клаузи 4 до 10: контекст, заинтересовани страни, обхват, планиране на риска, оперативен контрол, оценяване на изпълнението, преглед от ръководството и непрекъснато подобрение. Поправката не се покрива с отбелязване „неприложимо“ по време на среща. Тя се покрива чрез представяне на обосновано, документирано и основано на риска решение.

Финтех CISO на име Сара се сблъска със същия въпрос няколко седмици преди одит. Първата ѝ реакция беше позната: изменението на климата изглеждаше извън ISMS, докато екипът ѝ се фокусираше върху киберзаплахи, нарушения на сигурността на данните, сигурност на облачните услуги, готовност по DORA и клиентска надлежна проверка. Но след като преведе поправката на практически език за ISMS, темата стана конкретна: тежки метеорологични условия могат да засегнат наличността на облачен регион, доставчик в регион с воден стрес може да забави подмяната на критичен хардуер, продължително прекъсване на електрозахранването може да наруши окомплектоването на екипа за реагиране при инциденти, а клиентите могат да изискват доказателства за оперативна устойчивост.

Това е правилната рамка. Третирайте изменението на климата като вход за контекста и устойчивостта на ISMS, а не като допълнителна, отделно прикрепена тема.

Подходът на Clarysec използва Zenith Blueprint: 30-стъпкова пътна карта за одитора, Zenith Controls: ръководство за съответствие между рамки и шаблони за политики на Clarysec, за да превърне нов одиторски въпрос в проследими доказателства. Целта е проста: да покажете на одитора ясна верига от контекст към риск, от риск към контроли, от контроли към доказателства, от доказателства към преглед от ръководството и от преглед от ръководството към подобрение.

Поправката променя одиторския въпрос, а не мисията на ISMS

Най-честата грешка е поправката към ISO 27001 за изменението на климата да се третира като отделна област от контроли. Тя не е такава област. За един ISMS реалният въпрос е дали изменението на климата може да засегне целевите резултати по информационна сигурност, особено поверителност, цялостност и наличност.

Поправката добавя изменението на климата като конкретно съображение към изискванията за контекста на системите за управление по ISO. За ISO/IEC 27001:2022 одиторите обикновено първо проверяват две точки:

• Клауза 4.1 — дали организацията е определила дали изменението на климата е релевантен външен въпрос.
• Клауза 4.2 — дали релевантните заинтересовани страни имат свързани с климата изисквания.

Ключовата дума е „определила“. Организацията може да определи, че изменението на климата не е релевантно, че е релевантно само за определени местоположения или услуги, или че е релевантно за целия ISMS. Но това определяне трябва да бъде документирано и подкрепено от действителните зависимости на организацията.

Например доставчик на SaaS може да реши, че има климатична релевантност, защото наличността на продукционната среда зависи от малък брой облачни региони, доставчик на управлявани услуги и дистанционно работещ персонал за реагиране при инциденти. Финтех организация може да свърже поправката с критични зависимости от ИКТ доставчици трети страни, оперативна устойчивост по DORA, регулирано докладване на инциденти и отчетност на ръководния орган. Производител може да се фокусира върху наличността на OT мрежи, свързаността на производствените обекти, дистанционното наблюдение и прекъсване на физически площадки.

Зрелият набор от доказателства трябва да се намира на същите места, където организацията вече доказва, че нейният ISMS функционира.

Най-силните одитни доказателства не стоят в самостоятелен „климатичен файл“. Те се намират в нормалните записи на ISMS и показват, че системата за управление може да реагира на промени във външния контекст.

Започнете с контекст, заинтересовани страни и обхват

Климатичната релевантност започва в контекста. Организацията трябва да запише ясно определяне: релевантно, нерелевантно или частично релевантно. „Релевантно“ не означава катастрофално. Означава способно да повлияе на целевите резултати по информационна сигурност.

В Zenith Blueprint фазата ISMS Foundation & Leadership започва с анализ на контекста. Стъпка 1 посочва:

Действие 4.1: Проведете работна сесия за съставяне на списък с вътрешни и външни фактори, които са релевантни за информационната сигурност на вашата организация.

Същите насоки препоръчват широк външен анализ, включително фактори на околната среда чрез техники като PESTLE. Тук изменението на климата става оперативно. Вместо да пита „Имаме ли климатичен контрол?“, екипът пита:

• Кои физически местоположения, центрове за данни, облачни региони, мрежи и доставчици поддържат услугите в обхвата?
• Могат ли тежки метеорологични условия, горещини, горски пожари, наводнения, недостиг на вода, енергийна нестабилност или транспортни прекъсвания да засегнат наличността, цялостността или поверителността?
• Изискват ли клиентите доказателства за климатична устойчивост или оперативна устойчивост при надлежна проверка по сигурността?
• Налагат ли регулатори, застрахователи, инвеститори или клиенти от публичния сектор очаквания за непрекъсваемост на дейността, аварийно възстановяване или наличност?
• Могат ли проекти за адаптация към климата да въведат нови технологични рискове, като интеграции със сградни системи за управление, IoT сензори, мониторинг на околната среда или ускорена облачна миграция?
• Има ли последици за поверителността, ако новият мониторинг включва данни за служители, местоположение, устройства или среда, свързани с хора?

За финтех екипа на Сара работната сесия за контекста идентифицира четири реалистични външни въпроса: експозиция на бури в регион на център за данни, концентрация в един облачен регион, зависимост от хардуерен доставчик в район с недостиг на вода и регулаторни очаквания по DORA и NIS2.

Следващата стъпка са заинтересованите страни. Поправката изисква организациите да определят дали заинтересованите страни имат свързани с климата изисквания. Тези страни могат да включват клиенти, регулатори, застрахователи, доставчици на облачни услуги, инвеститори, ръководни органи или критични доставчици.

Стъпка 2 от Zenith Blueprint свързва този анализ с обхвата на ISMS:

Действие 4.3: Изгответе декларация за обхвата на ISMS. Посочете какво е включено (бизнес звена, местоположения, системи) и всички изключения.

Това е важно, защото прекъсванията, свързани с климата, често навлизат през интерфейси и зависимости. Организацията може да каже, че офисът ѝ не е съществен, защото продукционната среда е хоствана в облак, но одиторът може да попита дали клиентската поддръжка, привилегированият достъп, реагирането при инциденти, администрирането на резервни копия, ескалацията към доставчици или кризисната комуникация зависят от хора, обекти или доставчици извън обхвата.

Корпоративната Политика за информационна сигурност на Clarysec определя базовите изисквания:

Организацията трябва да внедри и поддържа система за управление на информационната сигурност (ISMS) в съответствие с клаузи 4 до 10 на ISO/IEC 27001:2022.

Тя изисква и структурата на доказателствата, която одиторите очакват:

ISMS трябва да включва дефинирани граници на обхвата, методология за оценка на риска, измерими цели и документирани контроли, обосновани в декларацията за приложимост (SoA).

Тези думи са ядрото на готовността по поправката: граници на обхвата, методология за риска, измерими цели и обосновка в SoA.

Превърнете климатичния контекст в рискове за информационната сигурност

Най-доброто доказателство рядко е общ риск, наречен „изменение на климата“. Изменението на климата е факторът от контекста. Рисковият сценарий трябва да описва последствието за информационната сигурност.

Силните рискови сценарии изглеждат така:

• Екстремни метеорологични условия прекъсват достъпа до основния офис по време на инцидент по сигурността, което забавя привилегированата реакция и комуникацията с клиентите.
• Регионална гореща вълна увеличава вероятността от нестабилност на охлаждането или електрозахранването в център за данни, който поддържа продукционни натоварвания.
• Наводнение засяга локация на звено за обслужване на критичен доставчик, което забавя възстановяването на управлявани услуги за защита на крайните точки.
• Изискванията на клиентите за климатична устойчивост не са отразени в регистъра на съответствието, което създава договорно несъответствие и одитни констатации.
• Аварийна облачна миграция за намаляване на зависимостта от физически обект заобикаля стандартното управление на промени и прегледа на риска, свързан с доставчика.
• Устройства за мониторинг на адаптацията към климата са свързани към корпоративната мрежа без регистрация на активи, логване или управление на уязвимостите.

Това са рискове за информационната сигурност, защото засягат наличност, обработване на инциденти, уверение от доставчици, управление на активите, правни задължения, сигурно управление на промени или поверителност.

Политиката за управление на риска - SME на Clarysec посочва:

Всички идентифицирани рискове трябва да бъдат записани в регистъра на риска.

Тя също така подсилва периодичността на прегледа:

Рисковете трябва да се преглеждат на тримесечна база и да се актуализират при настъпване на съществени събития.

За корпоративни организации Политиката за управление на риска на Clarysec разширява модела на входните данни:

Входните данни за идентифициране на риска трябва да включват, но не се ограничават до, одитни констатации, сканирания за уязвимости, доклади от тестове за проникване, тенденции при инцидентите, правни задължения и оперативни промени.

Климатичната релевантност може да произтича от всеки от тези входове. Констатация от клиентски одит може да идентифицира липсващи доказателства за устойчивост. Правна актуализация може да добави задължения за оперативна устойчивост. Облачна миграция може да премести натоварванията към различен регионален профил на експозиция. Тест за непрекъсваемост на дейността може да покаже, че персоналът не може да получи достъп до процедурите за възстановяване по време на прекъсване на електрозахранването.

Всеки риск трябва да има собственик, вероятност, въздействие, решение за третиране, позиция по остатъчния риск и дата за преглед. Ако организацията заключи, че няма съществен риск за информационната сигурност, свързан с климата, този извод също се нуждае от обосновка.

Използвайте декларацията за приложимост, за да превърнете логиката на риска в логика на контролите

След като свързаните с климата сценарии бъдат записани, следващият въпрос е дали са необходими контроли и дали декларацията за приложимост отразява решението. Клаузи 6.1.1 до 6.1.3 на ISO/IEC 27001:2022 изискват планирани действия за рискове и възможности, оценка на риска, третиране на риска, необходими контроли, сравнение с Приложение A и SoA с обосновки за включване и изключване.

Във фазата за управление на риска стъпка 13 от Zenith Blueprint дава практически модел за проследимост:

Кръстосани препратки към регулации: Ако определени контроли са внедрени специално за съответствие с GDPR, NIS2 или DORA, можете да отбележите това или в регистъра на риска (като част от обосновката на въздействието на риска), или в бележките към SoA.

Използвайте същия принцип за поправката относно изменението на климата. Не измисляйте нов контрол. Съпоставете сценария със съществуващи контроли от ISO/IEC 27002:2022 и обяснете защо са приложими.

Корпоративната Политика за управление на риска прави тригера за SoA изричен:

SoA трябва да се преглежда след всяка съществена оценка на риска или значителна промяна в средата.

Тази клауза е силно релевантна. Значителна промяна в средата може да бъде буквална, например актуализирана експозиция на наводнение за обект, или оперативна, например смяна на доставчици на център за данни, преместване на натоварвания, откриване на нов обект за поддръжка или приемане на регулиран клиент с изисквания за устойчивост.

Силната обосновка в SoA е конкретна:

„Контрол A.5.30 е приложим, защото RR-31 идентифицира потенциално прекъсване на услугата от екстремни метеорологични условия, засягащи основните операции по поддръжка. Третирането включва дистанционна координация при инциденти, тествани процедури за възстановяване, ежегодно упражнение за ИКТ готовност и валидиране на превключване към резервен облачен ресурс.“

Това е по-силно от „Приложимо, защото ISO го изисква.“

Използвайте доказателства от политики, за да направите поправката повторяема

Поправката не трябва да създава еднократна спешна подготовка преди одит. Тя трябва да стане част от нормалния цикъл за преглед на системата за управление.

Политиката за правно и регулаторно съответствие - SME на Clarysec посочва:

Всяка промяна, засягаща съответствието, трябва да задейства преглед на регистъра на съответствието и релевантните политики.

Добавете поправката на ISO за системите за управление във връзка с изменението на климата в регистъра на съответствието, след което направете кръстосани препратки към свързаните клиентски, регулаторни, договорни, застрахователни и сертификационни задължения. Ако организацията работи в среда по NIS2 или DORA, свържете тези задължения с непрекъсваемостта на дейността, докладването на инциденти, уверението от доставчици и доказателствата за управление.

За непрекъсваемост на дейността Политиката за непрекъсваемост на дейността и аварийно възстановяване - SME на Clarysec очаква доказателства:

че сценарии за прекъсване са разгледани и тествани като част от оценките на риска

Тук климатичните сценарии стават оперативни. Настолно упражнение за регионална загуба на електрозахранване, упражнение за възстановяване от резервно копие, валидиране на превключване към резервен облачен ресурс или симулация на прекъсване на поддръжката от доставчик могат да подкрепят поправката, ако са свързани с регистъра на риска.

За управлението на одита Политиката за одит и мониторинг на съответствието - SME на Clarysec посочва:

Одитните констатации и актуализациите на статуса трябва да бъдат включени в процеса за преглед от ръководството на ISMS.

Ако вътрешен одит идентифицира слаби доказателства по климатичната поправка, констатацията не трябва да остава само в инструмент за проследяване на одита. Тя трябва да се подаде към прегледа от ръководството, коригиращо действие и непрекъснато подобрение.

Доказателствата за поверителност са важни, когато адаптацията към климата променя обработването на лични данни. Политиката за система за управление на неприкосновеността на личната информация на Clarysec изисква дисциплина по контекста:

[И двата] Ръководителят по поверителността / PIMS Manager ТРЯБВА да документира външните и вътрешните въпроси от контекста на поверителността в REG01 ежегодно и в срок до 30 дни от всяка съществена промяна.

Тя също така изисква изискванията на заинтересованите страни да бъдат отразени:

[И двата] Ръководителят по поверителността / PIMS Manager ТРЯБВА да документира релевантните заинтересовани страни и техните изисквания към PIMS в REG01 ежегодно и в срок до 30 дни от всяка съществена промяна.

За рисковете за поверителността и DPIA Политиката за оценка на риска за поверителността и DPIA добавя:

[И двата] Ръководителят по поверителността / PIMS Manager ТРЯБВА да докладва статуса на риска за поверителността и DPIA от REG04 към REG12 на тримесечна база и преди всеки преглед от ръководството.

Политиката за мониторинг, одит и подобрение на PIMS предоставя модел за преглед от ръководството, който е полезен и извън поверителността:

[И двата] Висшето ръководство ТРЯБВА да преглежда несъответствията в PIMS, коригиращите действия, резултатите от мониторинга, резултатите от одита, риска за поверителността, уверението от доставчици и входните данни за промени при заинтересованите страни в REG12 по време на всеки преглед от ръководството.

А Политиката за документирана информация и управление на доказателства в PIMS подсилва индексирането на доказателствата:

[Всички] Ръководителят по поверителността / PIMS Manager ТРЯБВА да поддържа индекс на документираната информация в PIMS в REG12 преди първоначалното публикуване на PIMS и на тримесечна база след това.

За готовност на ISMS по поправката за климата използвайте същата дисциплина: поддържайте индекс на доказателствата, така че одиторският екип да може бързо да извлече записите за контекст, риск, SoA, непрекъсваемост, доставчици и преглед от ръководството.

Стойност за съответствие между рамки: ISO 27001, NIS2, DORA, GDPR, NIST CSF и COBIT

Поправката към ISO 27001 за изменението на климата е изискване към системата за управление по ISO, но доказателствата имат по-широка регулаторна и уверителна стойност.

NIS2 изисква съществените и важните субекти да прилагат подходящи и пропорционални мерки за управление на киберриска, като използват подход „всички опасности“. Article 21 обхваща анализ на риска, обработване на инциденти, непрекъсваемост на дейността, резервни копия, аварийно възстановяване, управление при кризи, сигурност на веригата на доставки, сигурна разработка, оценка на ефективността, обучение, криптография, контрол на достъпа и управление на активите. Тежки метеорологични условия, енергийна нестабилност и прекъсвания при доставчици се вписват естествено в този подход „всички опасности“. Article 20 също изисква ръководните органи да одобряват мерките за управление на киберриска и да контролират внедряването им, което съответства на доказателствата от прегледа от ръководството по ISO/IEC 27001:2022.

DORA е особено релевантен за финансовите субекти. Той изисква управление на ИКТ риска, отчетност на ръководния орган, планове за непрекъсваемост и възстановяване, тестване на цифровата оперативна устойчивост, управление на риска от ИКТ трети страни и непрекъснато подобрение. Ако финансова организация вече използва прегледа от ръководството на ISMS, за да одобрява свързани с климата действия за ИКТ непрекъсваемост, същите доказателства могат да подкрепят управленския разказ по DORA.

GDPR става релевантен, когато адаптацията към климата променя обработването на лични данни. Примерите включват мониторинг на безопасността на работната сила, проследяване на местоположение по време на тежки метеорологични условия, нови сградни сензори, мониторинг на околната среда, свързан със служители, или промени в местоположението за облачно обработване. Отчетност, ограничение на целите, свеждане на данните до минимум, сигурност, срок за съхранение и управление на поверителността при доставчици по GDPR остават приложими и по време на прекъсване.

NIST CSF 2.0 предоставя език за ръководството относно същите доказателства. Неговата функция GOVERN поставя акцент върху организационния контекст, очакванията на заинтересованите страни, правните и регулаторните изисквания, стратегията за управление на риска, ролите, надзора и риска във веригата на доставки. COBIT 2019 и професионалистите по уверение, ориентирани към ISACA, често се фокусират върху собствеността, показателите за изпълнение, приемането на риска, целите на управлението, управлението на проблеми и доказателствата, че ръководството знае, че контролите работят.

Zenith Controls е полезен тук, защото помага на екипите по съответствие да видят как един и същ доказателствен обект подкрепя множество рамки. Това не е отделен набор от контроли. Това е ръководство за съответствие между рамки за съпоставяне на логиката на контролите по ISO/IEC 27001:2022 и ISO/IEC 27002:2022 с одиторски, уверителни и регулаторни очаквания.

По тази тема няколко контроли от ISO/IEC 27002:2022 са централни. A.5.31 Правни, законови, регулаторни и договорни изисквания подкрепя задължението за идентифициране и поддържане на приложимите изисквания. A.5.4 Отговорности на ръководството подкрепя отчетността на ръководството. A.5.36 Съответствие с политики, правила и стандарти за информационна сигурност подкрепя уверението, че правилата се спазват. A.5.29 и A.5.30 подкрепят информационната сигурност по време на прекъсване и ИКТ готовността за непрекъсваемост на дейността. A.5.19, A.5.21 и A.5.22 подкрепят устойчивостта на доставчиците и веригата за доставки на ИКТ.

Zenith Controls посочва:

Контрол 5.36 служи като механизъм за прилагане на правилата, дефинирани в 5.1.

В контекста на климатичната поправка това означава, че организацията не само актуализира политика. Тя наблюдава дали прегледите на контекста, актуализациите на риска, прегледите на SoA, тестовете за непрекъсваемост, прегледите на доставчици и действията от прегледа от ръководството действително се изпълняват.

Прегледът от ръководството е моментът на истината на ниво ръководен орган

Клауза 9.3 на ISO/IEC 27001:2022 изисква висшето ръководство да преглежда ISMS на планирани интервали, за да гарантира продължаваща пригодност, адекватност и ефективност. За климатичната поправка прегледът от ръководството е мястото, където доказателствата за контекста се превръщат в управленска отчетност.

Zenith Blueprint, във фазата Audit, Review & Improvement, стъпка 28, указва на екипите да съберат входни данни за прегледа от ръководството, включително:

✓ Промени във външни и вътрешни въпроси: Обобщете всички съществени промени в контекста (Клауза 4.1) или в изискванията на заинтересованите страни (Клауза 4.2) от началото на проекта за ISMS.

Сара използва тази структура, за да информира ръководния си екип. Нейният слайд за прегледа от ръководството беше кратък:

1. ISO изисква разглеждане на изменението на климата в контекста на системата за управление.
2. Екипът по ISMS определи релевантност за наличността на центрове за данни, концентрацията в облачен регион, зависимостта от доставчици и регулаторните очаквания.
3. Два риска бяха добавени в регистъра на риска със средно ниска вероятност и високо въздействие.
4. Третирането използва съществуващи контроли за ИКТ готовност, управление на доставчици, резервни копия, облачни услуги и правни изисквания.
5. Изисква се одобрение от ръководството за разширен тест за аварийно възстановяване, симулиращ регионална нестабилност на електрозахранването.

Протоколите записаха решението, собствениците на действията, крайните срокове и одобрението на ресурсите. Това е висококачествено одитно доказателство, защото показва, че висшето ръководство е прегледало въпроса и е взело решение, основано на риска.

Корпоративната Политика за информационна сигурност на Clarysec изисква прегледът от ръководството да включва:

Решения за актуализации на обхвата, контролите и разпределението на ресурсите

Силен пакет за преглед от ръководството по климатичната поправка трябва да включва:

• Извадка от регистъра на контекста, показваща определянето на климатичната релевантност.
• Извадка от регистъра на заинтересованите страни, показваща изискванията или обосновката за липсата на такива.
• Преглед на обхвата, покриващ местоположения, облачни услуги, доставчици, екипи за поддръжка и интерфейси.
• Записи в регистъра на риска и статус на третирането.
• Промени в SoA или потвърждение, че съществуващите обосновки остават достатъчни.
• Резултати от тестове за непрекъсваемост на дейността и аварийно възстановяване.
• Актуализации на уверението от доставчици за облачни услуги, центрове за данни, MSP, MSSP, телекомуникации, сгради и външно възложени зависимости за поддръжка.
• Последици за реагирането при инциденти, включително зависимости при ескалация и комуникация.
• Актуализации на регистъра на правните и регулаторните изисквания.
• Искания за ресурси, решения и приемане на остатъчния риск.
• Действия за подобрение със собственици и крайни срокове.

Ако въпросът никога не достига до прегледа от ръководството, може да изглежда формален и лишен от реално управление. Ако достига до прегледа от ръководството чрез контекст, риск, контроли и доказателства, той изглежда като част от функциониращ ISMS.

Чести одитни констатации и как да ги предотвратите

Повечето констатации по климатичната поправка са откази в проследимостта, а не технически откази.

Вашият готов за одит пакет с доказателства

Преди следващия надзорен или ресертификационен одит подгответе кратък пакет с доказателства. Не е необходимо да бъде обемен. Необходимо е да бъде свързан.

Този пакет дава на одитора ясна проследимост: от контекст към риск, от риск към контрол, от контрол към доказателства, от доказателства към преглед от ръководството и от преглед от ръководството към подобрение.

Превърнете поправката в доказателства, а не в тревога

Поправката към ISO 27001 за изменението на климата не е капан за документация, ако вашият ISMS вече работи като система за управление. Тя е подтик да докажете, че организацията може да разпознае променящ се външен въпрос, да реши дали той има значение, да оцени въздействието му върху резултатите по информационна сигурност, да актуализира риска и контролите, когато е необходимо, и да включи висшето ръководство в решението.

Започнете с 60-минутен преглед на доказателствата. Подгответе регистъра на контекста, регистъра на заинтересованите страни, обхвата на ISMS, регистъра на риска, SoA, доклада от BCP тест, регистъра на доставчиците, регистъра на съответствието и последните протоколи от прегледа от ръководството. Задайте един въпрос: можем ли да проследим климатичната поправка от контекста до управленското решение?

Ако веригата е прекъсната, поправете я, преди одиторът да открие пропуска.

Clarysec може да ви помогне бързо да изградите тази проследимост. Използвайте Zenith Blueprint: 30-стъпкова пътна карта за одитора, за да поставите работата в правилните фази на внедряване; използвайте Zenith Controls: ръководство за съответствие между рамки, за да съпоставите доказателствата между ISO/IEC 27001:2022, NIS2, DORA, GDPR, NIST CSF и уверението, ориентирано към COBIT; и използвайте шаблоните за политики на Clarysec, за да направите записите повторяеми, подлежащи на преглед и готови за одит.

Насрочете оценка от Clarysec на доказателствата по климатичната поправка и превърнете неудобния одиторски въпрос в уверен отговор, готов за ръководния орган.