Sebehodnocení kontrolních opatření pro důkazy k ISO 27001

Problémem auditů v roce 2026 nejsou chybějící opatření, ale slabé důkazy

Videohovor se v pondělí v 09:10 rozběhl. Sarah, CISO rychle rostoucí fintechové SaaS společnosti, viděla na obrazovce tři napjaté tváře: vedoucího GRC, pověřence pro ochranu osobních údajů a vedoucího provozu IT.

Společnost čekal dozorový audit ISO/IEC 27001:2022. Správní rada chtěla do pátku briefing k připravenosti na NIS2. Zákazník z odvětví finančních služeb doplnil při obnově smlouvy otázky k dodavatelům ICT ve stylu DORA. Pověřenec pro ochranu osobních údajů připravoval důkazy k odpovědnosti podle GDPR.

Na papíře organizace působila vyspěle. Existoval registr rizik, Prohlášení o použitelnosti, postupy řízení přístupu, playbooky reakce na incidenty, politiky zálohování, formuláře prověrky dodavatelů a záznamy o školení.

Pak začal přezkum důkazů.

Tabulka přezkumu přístupových práv neobsahovala jmenovaného přezkoumávajícího. Zpráva ze skenu zranitelností byla aktuální, ale nikdo nedokázal doložit, zda byla kritická zjištění napravena, akceptována, nebo zůstávají otevřená. Prověrka dodavatele existovala, ale předcházela významné změně cloudové architektury. Snímky obrazovky z testů záloh byly zahrabané v chatovém vlákně. Poznámky z tabletop cvičení incidentu byly užitečné, ale nebylo možné je přiřadit ke konkrétním osobám. Inženýři přeposílali snímky konfigurace bez kontextu. Vlastníci kontrolních opatření označovali čtvrtletní kontroly jako „hotovo“, ale důkazy byly nekonzistentní a obtížně znovu použitelné.

Sarah věděla, že problémem není absence opatření. Problémem je absence obhajitelných a opakovatelných důkazů.

To je mezera v sebehodnocení kontrolních opatření pro rok 2026.

Organizace mají dokumentovaná opatření, řídicí panely a někdy i nástroje průběžného monitorování. Často však nedokážou prokázat, že vlastníci kontrolních opatření testují opatření konzistentně, že důkazy jsou úplné a aktuální a že výjimky přecházejí do nápravných opatření, přezkoumání vedením a regulačních oznámení.

Sebehodnocení kontrolních opatření, tedy CSA, tuto provozní mezeru řeší. Pokud je provedeno správně, vytváří disciplinovaný pracovní postup, v němž vlastníci kontrolních opatření pravidelně testují návrh a provozní účinnost opatření, přikládají důkazy splňující auditní kritéria kvality, zaznamenávají výjimky, přiřazují nápravná opatření a poskytují vedení spolehlivý pohled na stav kontrolního prostředí.

V Clarysec je CSA chápáno jako most mezi ISMS, právními povinnostmi a auditními důkazy. Zenith Blueprint: An Auditor’s 30-Step Roadmap tuto disciplínu řadí do fáze auditu, přezkumu a zlepšování. Krok 26, Audit Execution, uvádí, že sběr důkazů má zahrnovat rozhovory, přezkum dokumentace, pozorování, vzorkování a namátkové kontroly:

✓ Rozhovory s příslušným personálem: Požádejte osoby odpovědné za procesy, aby vysvětlily, jak plní požadavky.
✓ Přezkum dokumentace: Ověřte, že dokumenty a záznamy existují a jsou aktuální.
✓ Pozorování postupů: Je-li to možné, proveďte přímé pozorování.
✓ Vzorkování a namátkové kontroly: Nelze zkontrolovat vše, proto použijte vzorkování.

Tento přístup nemá čekat až na formální interní audit. CSA jej posouvá proti proudu, do rukou vlastníků kontrolních opatření, aby organizace mohla každý měsíc nebo čtvrtletí prokázat, že opatření nejsou pouze popsána v dokumentaci, ale skutečně fungují.

Proč manuální sebehodnocení pod NIS2, DORA a GDPR selhávají

Starý model sebehodnocení kontrolních opatření založený na tabulkách a e-mailech nefunguje, protože odměňuje dokončení namísto kvality důkazů.

Vlastník kontrolního opatření nahraje snímek obrazovky. Jiný napíše „potvrzeno dle politiky“. Třetí přiloží export logů bez vysvětlení systému, období, přezkoumávající osoby nebo závěru. Tým GRC pak tráví dny rekonstrukcí příběhu pro auditory, zákazníky a regulační orgány.

Vznikají tak čtyři opakující se selhání:

• Nekonzistentní důkazy, kdy má každý vlastník jinou představu o platném dokladu.
• Slabá přiřaditelnost, kdy soubory neukazují, kdo důkaz shromáždil, kdy a z jakého zdroje.
• Formální odškrtávání bez testování, kdy přetížené týmy potvrzují funkčnost opatření, aniž by je otestovaly.
• Nemožnost opakovaného použití, kdy důkazy shromážděné pro ISO/IEC 27001:2022 nelze bez manuální reinterpretace snadno použít pro NIS2, DORA nebo GDPR.

Moderní regulace je k tomuto modelu nekompromisní.

NIS2 Article 20 činí řízení rizik kybernetické bezpečnosti odpovědností řídicího orgánu. Vedení musí schvalovat opatření, dohlížet na jejich implementaci a absolvovat školení. Article 21 vyžaduje vhodná a přiměřená technická, provozní a organizační opatření, včetně analýzy rizik, zvládání incidentů, kontinuity činností, zabezpečení dodavatelského řetězce, řešení zranitelností, posuzování účinnosti, kybernetické hygieny, řízení přístupu, správy aktiv a autentizace.

Právě pojem „posuzování účinnosti“ je místem, kde se CSA stává nezbytným. Subjekt spadající pod NIS2 nemůže věrohodně sdělit vedení, že opatření kybernetické bezpečnosti jsou účinná, pokud je vlastníci kontrolních opatření netestují a nedokumentují výsledky.

DORA od 17. ledna 2025 zvýšila nároky na finanční subjekty. Zavádí režim digitální provozní odolnosti zahrnující řízení rizik v oblasti ICT, hlášení incidentů, testování odolnosti, sdílení informací a rizika třetích stran v oblasti ICT. DORA Article 5 vyžaduje odpovědnost řídicího orgánu za uspořádání řízení rizik v oblasti ICT, politiky, role, strategii, plány kontinuity, plány auditů, politiky pro třetí strany a nápravná opatření. Article 6 vyžaduje dokumentovaný rámec řízení rizik v oblasti ICT, pravidelný přezkum, interní audit u jiných než mikropodniků a nápravu kritických zjištění auditů ICT. Articles 24 to 26 činí z testování odolnosti opakovaný validační program, včetně odpovídající nezávislosti a u některých subjektů penetračního testování podle hrozeb.

CSA nenahrazuje testování podle DORA. Je to vrstva vlastníků kontrolních opatření, která činí testování podle DORA udržitelným.

GDPR přidává související tlak na odpovědnost. Article 5(2) vyžaduje, aby správci prokázali soulad se zásadami ochrany údajů. Article 32 vyžaduje odpovídající zabezpečení zpracování, včetně důvěrnosti, integrity, dostupnosti, odolnosti, obnovy a pravidelného testování nebo hodnocení, je-li to vhodné. Pro pověřence pro ochranu osobních údajů jsou důkazy z CSA praktickým způsobem, jak prokázat, že přezkum přístupových práv, šifrování, protokolování, uchovávání, dohled nad dodavateli a zvládání incidentů skutečně fungují ve vztahu k osobním údajům.

Model CSA společnosti Clarysec: od politiky k důkazu

Obhajitelný program CSA začíná třemi otázkami:

1. Je opatření správně navrženo vzhledem k riziku a povinnosti?
2. Fungovalo opatření během posuzovaného období?
3. Jsou důkazy úplné, aktuální, přiřaditelné a opakovaně použitelné?

Clarysec tento model ukotvuje v politikách, auditním pracovním postupu a mapování opatření.

Information Security Policy nastavuje očekávání v kapitole 6.6.1:

Všechna implementovaná opatření musí být auditovatelná, podložená dokumentovanými postupy a uchovanými důkazy o provozu.

Kapitola 6.6.2 doplňuje:

Vlastníci kontrolních opatření musí uchovávat výsledky testů, logy a záznamy o přezkumu pro podporu pravidelných auditů.

Tím se opatření mění ze statických prohlášení na aktivní, měřitelné procesy.

Audit and Compliance Monitoring Policy - SME stanovuje disciplínu přezkumu:

Tato politika stanovuje přístup organizace k provádění interních auditů, přezkumů bezpečnostních opatření a monitorování souladu. Zajišťuje, aby všechna opatření, politiky, systémy a poskytovatelé služeb podléhali pravidelnému a strukturovanému přezkumu.

Kapitola 5.2.3 vyžaduje strukturu:

Každý audit musí obsahovat definovaný rozsah, cíle, odpovědný personál a požadované důkazy.

Pro CSA platí stejná logika na úrovni vlastníka kontrolního opatření. Každé sebehodnocení má mít rozsah, cíl, odpovědnou osobu, období, důkazy a závěr.

Zenith Controls: The Cross-Compliance Guide pak poskytuje mapovací pohled. Pro CSA patří mezi nejdůležitější odkazy na opatření přílohy A ISO/IEC 27001:2022 5.2, role a odpovědnosti v oblasti bezpečnosti informací, 5.35, nezávislý přezkum bezpečnosti informací, a 5.36, soulad s politikami, pravidly a normami bezpečnosti informací.

Společně tato opatření vytvářejí příběh CSA. Někdo musí opatření vlastnit. Organizace musí ověřovat, zda jsou dodržovány politiky a normy. Nezávislý přezkum musí systém prověřovat. CSA stojí mezi vlastnictvím a nezávislým přezkumem. Není to interní audit, ale připravuje důkazy, díky nimž je interní audit rychlejší a spolehlivější.

Test návrhu versus test provozní účinnosti

Častou chybou CSA je otázka vlastníkům kontrolních opatření: „Funguje toto opatření?“ bez definice toho, co „funguje“ znamená.

Každé věrohodné posouzení má oddělit test návrhu od testu provozní účinnosti.

Test návrhu zjišťuje, zda by opatření při provedení podle popisu řešilo dané riziko nebo požadavek. U přezkumu přístupových práv test návrhu ověřuje, zda postup definuje rozsah, roli přezkoumávající osoby, frekvenci, zahrnuté systémy, nakládání s výjimkami, uchovávání důkazů a eskalaci.

Test provozní účinnosti zjišťuje, zda opatření během období skutečně fungovalo. U téhož přezkumu přístupových práv provozní test ověřuje, zda přezkum proběhl, kdo jej provedl, zda byly zahrnuty všechny systémy v rozsahu, zda byly výjimky vyřešeny a zda záznamy prokazují dokončení.

Důležité jsou oba testy. Dobře napsaná politika zálohování je slabá, pokud neproběhly testy obnovy. Sken zranitelností spouštěný každý týden je neúplný, pokud kritická zjištění nepřecházejí do nápravy nebo formální akceptace rizika. Přezkum dodavatele provedený jednou už není spolehlivý, pokud dodavatel nyní podporuje kritický proces a změnil subdodavatele.

Toto rozlišení přímo podporuje kapitoly ISO/IEC 27001:2022 8.1 pro operativní plánování a řízení, 9.1 pro monitorování, měření, analýzu a hodnocení, 9.2 pro interní audit, 9.3 pro přezkoumání vedením a 10.2 pro neshodu a nápravné opatření.

Kritéria kvality důkazů pro audity v roce 2026

Důkaz není připravený pro audit jen proto, že existuje. Důkaz musí být použitelný.

V CSA mají být důkazy posuzovány podle sedmi kritérií.

Politika pro SME posiluje disciplínu metadat:

Metadata (např. kdo důkaz shromáždil, kdy a z jakého systému) musí být dokumentována.

Pro vyšetřování s vyššími požadavky na integritu a digitální důkazy je Evidence Collection and Forensics Policy - SME přesnější:

Každá položka digitálního důkazu musí být zaznamenána s těmito údaji:
5.2.1.1. Jméno osoby, která důkaz shromáždila
5.2.1.2. Zdrojový systém/zařízení
5.2.1.3. Časové razítko sběru
5.2.1.4. Umístění úložiště
5.2.1.5. Historie přístupu (kdo jej zobrazil nebo zkopíroval)

Rutinní záznam CSA nemusí vždy vyžadovat forenzní řetězec opatrování důkazů. Každá položka důkazů však má být dostatečně dohledatelná, aby auditor pochopil, kdo ji vytvořil, kdy, odkud a proč prokazuje dané opatření.

Legal and Regulatory Compliance Policy doplňuje požadavek na soulad napříč rámci tím, že vyžaduje:

Požadované artefakty nebo záznamy k prokázání souladu (např. auditní logy, nastavení šifrování, dokumentace souhlasů)

To je klíč k opakovaně použitelným důkazům. Jeden export konfigurace šifrování může podporovat ošetření rizik podle ISO/IEC 27001:2022, bezpečnostní opatření podle NIS2 Article 21, ochranu ICT aktiv podle DORA a zabezpečení zpracování podle GDPR Article 32, pokud je záznam úplný, přiřaditelný a namapovaný.

Praktický pracovní postup CSA s využitím nástrojů Clarysec

Vlastník kontrolního opatření musí být schopen provést smysluplnou relaci CSA strukturovaně a opakovatelně. Níže uvedený pracovní postup lze použít na privilegovaný přístup, obnovu ze záloh, monitorování dodavatelů, připravenost na incidenty, řízení zranitelností nebo nezávislý přezkum.

Krok 1, vyberte opatření a mapování povinností

Začněte Prohlášením o použitelnosti, plánem ošetření rizik a registrem právních povinností. Vyberte jedno opatření, například přezkum privilegovaného přístupu k produkčním systémům.

Namapujte jej na relevantní opatření přílohy A ISO/IEC 27001:2022, například 5.15 řízení přístupu, 5.16 správa identit a 5.18 přístupová práva. V Zenith Controls jej propojte s 5.2 pro role a odpovědnosti a s 5.36 pro soulad s politikami, pravidly a normami, protože přezkum prokazuje dodržování politiky přístupu.

Pokud organizace spadá pod NIS2, namapujte důkazy na opatření Article 21 pro řízení přístupu, správu aktiv, bezpečnost lidských zdrojů a autentizaci. Pokud jde o finanční subjekt podle DORA, namapujte je na správu a řízení rizik ICT, ochranu, monitorování a požadavky na třetí strany, kde je to relevantní. Pokud jsou zapojeny osobní údaje, namapujte je na integritu a důvěrnost podle GDPR Article 5 a zabezpečení zpracování podle Article 32.

Krok 2, definujte test návrhu

Položte praktické otázky k návrhu:

• Identifikuje postup všechny systémy v rozsahu?
• Pokrývá privilegované účty, servisní účty a nouzový přístup?
• Je přezkoumávající osoba prakticky oddělena od každodenního zřizování přístupu?
• Jsou definována pravidla frekvence, eskalace a výjimek?
• Je definováno uchovávání důkazů?
• Jsou zahrnuty GDPR, DORA, NIS2 nebo zákaznické povinnosti, pokud jsou relevantní?

Pokud je odpověď záporná, zaznamenejte výjimku v návrhu.

Krok 3, proveďte test provozní účinnosti

Vyberte vzorek a otestujte skutečný provoz. U čtvrtletního přezkumu privilegovaného přístupu vzorkujte poslední dokončený přezkum a vysoce rizikové uživatele napříč kritickými systémy. Pokud je prostředí malé, otestujte všechny privilegované účty. Pokud je velké, použijte vzorkování na základě rizik s vyšším pokrytím pro administrátory, produkční systémy, systémy s osobními údaji a externě exponované platformy.

Podniková Audit and Compliance Monitoring Policy podporuje:

Sběr důkazů prostřednictvím rozhovorů, průchodů procesem a vzorkování

Vyžaduje také:

Dokumentaci strategie vzorkování, rozsahu auditu a omezení

Důkazy pouze nepřikládejte. Zaznamenejte, proč byl vzorek vybrán, jakou populaci představuje a co bylo vyloučeno.

Silné prohlášení ke vzorku může znít:

„Populace: 42 privilegovaných produkčních účtů napříč cloudovou konzolí, CI/CD platformou a správou databází. Vzorek: všech 7 účtů nouzového přístupu typu „break-glass“, všech 5 účtů administrátorů produkčních databází a 10 náhodně vybraných privilegovaných účtů inženýrů. Období: Q1 2026. Vyloučení: účty firewallů spravované třetí stranou posouzené v rámci CSA přezkumu přístupu dodavatelů CSA-TPR-04.“

Tato věta dává auditorovi populaci, logiku založenou na rizicích, období a omezení.

Krok 4, vyhodnoťte kvalitu důkazů

U každé položky důkazů zachyťte:

• ID důkazu
• ID opatření a vlastníka kontrolního opatření
• Posuzované období
• Zdrojový systém
• Datum sběru
• Osobu, která důkaz shromáždila
• Přezkoumávajícího nebo schvalovatele
• Propojenou povinnost
• Umístění úložiště
• Dobu uchovávání
• Zjištěné výjimky
• Tiket nápravy nebo referenci CAPA

Tím se CSA mění ze subjektivního dotazníku na důkazní test kontrolního opatření.

Krok 5, zaznamenejte výjimky a nápravná opatření

Pokud u dvou privilegovaných účtů chybí dokumentované obchodní odůvodnění, neskrývejte problém v poznámkách. Vytvořte zjištění, přiřaďte hodnocení rizika, definujte opatření, určete vlastníka a dohodněte cílové datum.

Politika pro SME vyžaduje:

Všechna zjištění auditu musí být dokumentována s hodnocením rizika a navrženými opatřeními.

Poté použijte Zenith Blueprint krok 27, Audit Findings. Blueprint doporučuje kategorie závažná neshoda, méně závažná neshoda nebo pozorování, následované analýzou kořenové příčiny. Pokud byly servisní účty opomenuty proto, že je evidence identit nezahrnuje, kořenovou příčinou není „chyba přezkoumávající osoby“. Je jí neúplná evidence přístupů nebo nejasný rozsah postupu.

Krok 6, uzavřete prostřednictvím CAPA a ověřte účinnost

Zenith Blueprint krok 29 doporučuje používat evidenci CAPA s popisem problému, kořenovou příčinou, nápravným opatřením, odpovědným vlastníkem, cílovým datem a stavem. Zároveň zdůrazňuje ověření účinnosti po dokončení.

Pokud nápravné opatření zní „aktualizovat postup přezkumu přístupových práv tak, aby zahrnoval servisní účty“, metoda ověření má být praktická: přezkoumat další cyklus přístupů a potvrdit, že servisní účty jsou zahrnuty, výjimky jsou vyřešeny a důkazy jsou uchovány.

Tak se CSA stává neustálým zlepšováním, nikoli divadlem pro soulad.

Mapování napříč rámci bez čtyř samostatných programů opatření

Největší efektivitu přináší princip „testuj jednou, mapuj vícekrát“.

Budování samostatných testovacích procesů pro ISO/IEC 27001:2022, NIS2, DORA a GDPR vytváří duplicitní důkazy, nekonzistentní odpovědi a vyčerpané vlastníky kontrolních opatření. Lepším přístupem je použít ISO/IEC 27001:2022 jako systém řízení, CSA jako testovací pracovní postup a Zenith Controls jako průvodce mapováním souladu napříč rámci.

NIST Cybersecurity Framework 2.0 je užitečný jako integrační vrstva. Jeho funkce GOVERN řeší právní, regulační a smluvní požadavky, ochotu podstupovat riziko, odpovědnost vedení, správu politik a dohled. Jeho organizační profily pomáhají organizacím definovat současné a cílové výsledky v oblasti kybernetické bezpečnosti, analyzovat mezery a převádět je do prioritizovaných akčních plánů.

COBIT 2019 a přístup k ujišťování ve stylu ISACA přidávají další užitečný pohled. Zaměřují se na cíle správy a řízení, schopnost procesů, odpovědnost, metriky a dohled vedení. Přezkoumávající s orientací na COBIT se bude ptát, zda je proces definovaný, měřený a zlepšovaný, nejen zda existuje artefakt.

Jak různí auditoři posuzují vaše důkazy z CSA

Tentýž záznam CSA bude interpretován různě podle odborného zázemí auditora. Návrh důkazů s ohledem na tyto perspektivy činí program odolnějším.

U nezávislého přezkumu bude auditor ISO/IEC 27001:2022 hledat program interního auditu podle kapitoly 9.2, vstupy přezkoumání vedením podle kapitoly 9.3 a nápravná opatření podle kapitoly 10.2. Přezkoumávající podle DORA bude hledat testování založené na rizicích, nezávislost, nápravu a dohled vedení. Regulační orgán NIS2 se zaměří na to, zda vedení dokáže prokázat účinnost opatření kybernetické bezpečnosti. Přezkoumávající podle GDPR se zeptá, zda důkazy ukazují odpovídající technická a organizační opatření ve vztahu ke skutečným činnostem zpracování.

Cílem není přepisovat důkazy pro každé publikum. Cílem je shromáždit je jednou s dostatečným kontextem, aby obstály ve více pohledech.

Reportování vedení, které vede k opatřením, nikoli k šumu

Výsledky CSA nemají zůstávat v tabulkách vlastníků kontrolních opatření. Mají vstupovat do přezkoumání vedením.

V kroku 28, Management Review, Zenith Blueprint doporučuje vstupy týkající se změn interních a externích aspektů, změn požadavků zainteresovaných stran, výkonnosti ISMS, výsledků auditů, monitorování a měření, incidentů, neshod, příležitostí ke zlepšování a potřeb zdrojů.

Právě tam CSA patří.

Užitečný řídicí panel CSA pro vedení má obsahovat:

• Pokrytí opatření podle domén a kritických procesů.
• Procento opatření testovaných podle harmonogramu.
• Skóre kvality důkazů podle vlastníka kontrolního opatření.
• Otevřené výjimky podle hodnocení rizika.
• Zpožděná nápravná opatření.
• Opakovaná zjištění a kořenové příčiny.
• Vysoce riziková mapování pro NIS2, DORA, GDPR a zákaznické povinnosti.
• Výjimky u opatření souvisejících s dodavateli.
• Zjištění z testování incidentů, záloh a odolnosti.
• Rozhodnutí o zdrojích požadovaná od vedení.

Vedení nepotřebuje každý snímek obrazovky. Potřebuje vědět, zda je kontrolní prostředí spolehlivé, kde riziko roste, zda jsou pokryty povinnosti a kde je nutné rozhodnutí.

To podporuje odpovědnost vedení podle NIS2 Article 20 a dohled řídicího orgánu podle DORA Article 5. U GDPR to správci pomáhá prokázat, že odpovědnost není jednorázový dokument, ale živý proces správy a řízení.

Běžné nástrahy CSA a jak se jim vyhnout

První nástrahou je CSA založené pouze na dotazníku. Odpověď ano/ne bez důkazů vytváří pocit jistoty, nikoli ujištění. Každé významné tvrzení má být podloženo důkazy.

Druhou nástrahou jsou důkazy bez kontextu kontrolního opatření. Export logů je bezcenný, pokud není navázán na cíl opatření, období, zdroj, vlastníka a závěr.

Třetí nástrahou je slabá disciplína výjimek. Pokud zjištění nemají hodnocení rizik, vlastníky, cílová data a metody ověření, CSA se stává pouhým úložištěm. Zenith Blueprint krok 29 tomu brání propojením neshod s kořenovou příčinou, nápravným opatřením, vlastníkem, cílovým datem a ověřením účinnosti.

Čtvrtou nástrahou je ignorování externě poskytovaných služeb. ISO/IEC 27001:2022 vyžaduje řízení externě poskytovaných procesů, produktů nebo služeb relevantních pro ISMS. NIS2 zahrnuje zabezpečení dodavatelského řetězce. DORA vyžaduje řízení rizik třetích stran v oblasti ICT, registry, prověrku dodavatelů, smluvní bezpečnostní opatření, posouzení rizika koncentrace, práva na audit a plány ukončení spolupráce. Výstupy NIST CSF 2.0 GV.SC obdobně pokrývají role dodavatelů, prověrku, smlouvy, monitorování, plánování incidentů a ukončení. CSA musí zahrnovat důkazy dodavatelů, nikoli pouze interní IT důkazy.

Pátou nástrahou je přístup ke GDPR jako k právní příloze. Pokud jsou v systému zpracovávány osobní údaje, CSA má testovat, zda bezpečnostní opatření podporují integritu, důvěrnost, dostupnost, uchovávání, omezení přístupu a připravenost na porušení zabezpečení.

Kontrolní seznam vlastníka kontrolního opatření pro rok 2026

Před odesláním výsledku CSA musí být každý vlastník kontrolního opatření schopen potvrdit následující:

• Znám cíl opatření a související rizika.
• Vím, které povinnosti podle ISO/IEC 27001:2022, NIS2, DORA, GDPR nebo smluv dané opatření podporuje.
• Samostatně jsem otestoval návrh a provozní účinnost.
• Zdokumentoval jsem populaci a metodu vzorkování.
• Přiložil jsem důkazy, které jsou úplné, aktuální, přiřaditelné, autentické, relevantní, uchované a opakovaně použitelné.
• Zaznamenal jsem metadata o tom, kdo důkazy shromáždil, kdy a z jakého systému.
• Zdokumentoval jsem výjimky s hodnocením rizika a navrženými opatřeními.
• Identifikoval jsem kořenovou příčinu u významných výjimek.
• Vytvořil nebo aktualizoval jsem záznamy CAPA s vlastníkem, termínem splnění a metodou ověření.
• Eskaloval jsem významné problémy do přezkoumání vedením.

Pokud vlastník kontrolního opatření tento kontrolní seznam nedokáže splnit, nejde pouze o slabinu CSA. Může jít o slabinu monitorování ISMS, mezeru v posouzení účinnosti podle NIS2, problém správy a řízení rizik ICT podle DORA nebo slabinu odpovědnosti podle GDPR.

Zařaďte CSA do svého provozního modelu ujišťování

Sebehodnocení kontrolních opatření nenahrazuje interní audit, penetrační testování, testování odolnosti podle DORA ani právní přezkum podle GDPR. Je to provozní vrstva, která všechny tyto činnosti činí spolehlivějšími.

V roce 2026 nebudou audity s menším narušením zvládat organizace s největším počtem politik. Budou to organizace, jejichž vlastníci kontrolních opatření dokážou kvalitními důkazy prokázat, že opatření jsou navržena, provozována, monitorována, napravována a reportována.

Clarysec pomáhá organizacím tuto schopnost budovat pomocí Zenith Blueprint, šablon politik, jako jsou Information Security Policy, Audit and Compliance Monitoring Policy, Audit and Compliance Monitoring Policy - SME, Evidence Collection and Forensics Policy - SME, Legal and Regulatory Compliance Policy, a mapovacích možností Zenith Controls pro soulad napříč rámci.

Pokud jsou vaše opatření ISO/IEC 27001:2022 dokumentována, ale důkazy jsou roztříštěné, nekonzistentní nebo nepoužitelné pro NIS2, DORA a GDPR, začněte tento týden jednou vysoce rizikovou doménou. Proveďte CSA pro privilegovaný přístup, bezpečnost dodavatelů, připravenost na incidenty, nápravu zranitelností nebo obnovu ze záloh. Otestujte návrh, otestujte provozní účinnost, ohodnoťte kvalitu důkazů, zaevidujte výjimky a výsledek předejte do přezkoumání vedením.

Jste připraveni proměnit sebehodnocení kontrolních opatření v ujištění připravené pro audit? Stáhněte si Zenith Blueprint, prozkoumejte Zenith Controls nebo požádejte o posouzení připravenosti důkazů Clarysec, abyste zjistili, kde vaše důkazy o kontrolních opatřeních obstojí a kde je třeba je zlepšit.