Plán obnovy po neúspěšném auditu ISO 27001:2022

E-mail, který nikdo nechtěl dostat

E-mail přijde pozdě v pátek s předmětem, který zní neškodně: „Výsledek přechodového auditu.“

Text zprávy neškodný není. Certifikační orgán vznesl závažnou neshodu. Certifikát ISO/IEC 27001 je pozastaven nebo nelze uzavřít rozhodnutí o přechodu. Poznámka auditora je přímočará: Prohlášení o použitelnosti neodůvodňuje vyloučená opatření, posouzení rizik neodráží aktuální kontext a neexistují dostatečné důkazy, že byly zohledněny nové regulatorní povinnosti.

Během hodiny už nejde jen o problém souladu. Obchodní tým se ptá, zda je nyní ohrožena veřejná zakázka. Právní oddělení přezkoumává ustanovení zákaznických smluv. CISO vysvětluje, proč SoA nesedí na plán ošetření rizik. CEO položí jedinou otázku, na které záleží: „Jak rychle to dokážeme napravit?“

Pro mnoho organizací neznamenalo uplynutí termínu přechodu na ISO 27001:2022 teoretickou mezeru. Vytvořilo skutečný problém kontinuity činností. Zmeškaný nebo neúspěšný přechodový audit ISO 27001:2022 může ovlivnit způsobilost k účasti ve výběrových řízeních, onboarding dodavatele, kybernetické pojištění, programy zákaznického ujištění, připravenost na NIS2, očekávání DORA, odpovědnost podle GDPR a důvěru řídicích orgánů.

Dobrou zprávou je, že obnova je možná. Špatnou zprávou je, že kosmetické úpravy dokumentů nepomohou. Obnova musí být řízena jako disciplinovaný program nápravných opatření v ISMS, nikoli jako uspěchané přepsání politik.

V Clarysec tuto obnovu stavíme na třech propojených aktivech:

1. Zenith Blueprint: 30krokový plán auditora, zejména na fázi Audit, přezkum a zlepšování.
2. Knihovně podnikových politik a politik pro malé a střední podniky Clarysec, která převádí auditní zjištění na řízené povinnosti.
3. Zenith Controls: průvodce průřezovým souladem, který pomáhá propojit očekávání opatření ISO/IEC 27002:2022 s NIS2, DORA, GDPR, ujišťováním ve stylu NIST a perspektivami správy a řízení podle COBIT 2019.

Toto je praktický plán obnovy pro CISO, manažery compliance, auditory, zakladatele a vlastníky společností, kteří zmeškali termín přechodu na ISO 27001:2022 nebo neuspěli v přechodovém auditu.

Nejprve diagnostikujte typ selhání

Než upravíte jedinou politiku, klasifikujte situaci. Ne každý neúspěšný nebo zmeškaný přechod má stejný dopad na organizaci ani stejnou cestu obnovy. Prvních 24 hodin se musí zaměřit na získání zprávy z auditu, rozhodnutí certifikačního orgánu, přesného znění neshody, požadavků na důkazy, termínů a aktuálního stavu certifikátu.

Plán obnovy závisí na typu selhání. Zablokované certifikační rozhodnutí vyžaduje cílenou nápravu. Pozastavený certifikát vyžaduje urgentní obnovu správy a řízení důkazů. Odebraný nebo expirovaný certifikát může vyžadovat širší recertifikační postup.

V každém případě namapujte každý problém na příslušnou kapitolu ISMS, opatření Annex A, záznam rizika, vlastníka politiky, právní nebo smluvní povinnost a zdroj důkazů.

Zde je ISO/IEC 27001:2022 důležitá jako systém řízení, nikoli pouze jako katalog opatření. Kapitoly 4 až 10 vyžadují, aby ISMS rozuměl kontextu, zainteresovaným stranám, rozsahu, vedení, plánování rizik, podpoře, provozu, hodnocení výkonnosti a neustálému zlepšování. Pokud přechod selhal, obvykle je přerušen některý z těchto článků systému řízení.

Proč přechodové audity ISO 27001:2022 selhávají

Neúspěšné přechodové audity se obvykle soustředí kolem opakujících se vzorců. Mnohé z nich nejsou hluboce technické. Jde o selhání správy a řízení, dohledatelnosti, vlastnictví a důkazů.

Neúspěšný audit signalizuje, že se ISMS nepřizpůsobil dostatečně rychle skutečnému provoznímu prostředí organizace.

ISO/IEC 27005:2022 je při obnově užitečná, protože zdůrazňuje význam stanovení kontextu pomocí právních, regulatorních, odvětvových, smluvních, interních a stávajících požadavků na opatření. Podporuje také kritéria rizik, která zohledňují právní povinnosti, dodavatele, ochranu soukromí, lidské faktory, obchodní cíle a ochotu podstupovat riziko schválenou vedením.

Prakticky řečeno, obnova po přechodu začíná aktualizovaným kontextem a kritérii rizik, nikoli novým číslem verze na starém dokumentu.

Krok 1: Stabilizujte auditní stopu a vytvořte řídicí centrum obnovy

První provozní chybou po neúspěšném auditu je chaos v důkazech. Týmy začnou prohledávat e-mailové schránky, sdílené disky, ticketovací systémy, chatové zprávy, osobní složky a staré auditní balíčky. Auditoři to vykládají jako známku toho, že ISMS není řízený.

Verze pro malé a střední podniky Politiky monitorování auditu a souladu od Clarysec je ohledně řízení důkazů jednoznačná:

„Veškeré důkazy musí být uloženy v centralizované auditní složce.“

Ze sekce „Požadavky na implementaci politiky“, ustanovení politiky 6.2.1.

Tato centralizovaná auditní složka se stává řídicím centrem obnovy. Měla by obsahovat:

• Zprávu certifikačního orgánu a korespondenci.
• Potvrzení stavu certifikátu.
• Registr neshod.
• Evidenci CAPA.
• Aktualizované posouzení rizik.
• Aktualizovaný plán ošetření rizik.
• Aktualizované Prohlášení o použitelnosti.
• Zprávu interního auditu.
• Zápis z přezkoumání vedením.
• Záznamy o schválení politik.
• Důkazy pro každé použitelné opatření Annex A.
• Balíček ujištění pro zákazníka, pokud jsou dotčeny obchodní závazky.

Pro podniková prostředí stanovuje Politika monitorování auditu a souladu od Clarysec stejná očekávání v oblasti správy a řízení:

„Všechna zjištění musí vést k dokumentovanému CAPA, které zahrnuje:“

Ze sekce „Požadavky na implementaci politiky“, ustanovení politiky 6.2.1.

Formulace zavádí strukturované očekávání pro nápravná opatření. Podstata je jednoduchá: každé zjištění auditu se musí stát řízenou položkou CAPA, nikoli neformálním úkolem v něčím zápisníku.

U malých a středních podniků je stejně důležité zapojení vedení:

„Generální ředitel (GM) musí schválit plán nápravných opatření a sledovat jeho implementaci.“

Z Politiky monitorování auditu a souladu pro malé a střední podniky, sekce „Požadavky na správu a řízení“, ustanovení politiky 5.4.2.

Je to důležité, protože ISO 27001:2022 nepovažuje vedení za symbolickou roli. Vrcholové vedení musí stanovit politiku, sladit cíle s obchodní strategií, poskytnout zdroje, komunikovat význam bezpečnosti informací, přiřadit odpovědnosti a podporovat neustálé zlepšování.

Pokud je neúspěšný přechod pojat jako „problém člověka odpovědného za compliance“, další audit znovu odhalí slabou odpovědnost vedení.

Krok 2: Znovu sestavte kontext, povinnosti a riziko

Neúspěšný přechodový audit často znamená, že kontext ISMS již neodráží realitu organizace. Organizace se mohla přesunout na cloudové platformy, přidat nové dodavatele, vstoupit na regulované trhy, zpracovávat více osobních údajů nebo se stát relevantním dodavatelem pro zákazníky podléhající NIS2 nebo DORA. Pokud tyto změny v ISMS chybí, posouzení rizik a SoA budou neúplné.

Politika právního a regulatorního souladu od Clarysec stanovuje základní požadavek:

„Všechny právní a regulatorní povinnosti musí být namapovány na konkrétní politiky, opatření a vlastníky v rámci systému řízení bezpečnosti informací (ISMS).“

Ze sekce „Požadavky na implementaci politiky“, ustanovení politiky 6.2.1.

Toto ustanovení je po selhání přechodu zásadní. Kapitoly ISO 27001:2022 4.1 až 4.3 vyžadují, aby organizace zohlednila interní a externí otázky, zainteresované strany, požadavky, rozhraní, závislosti a rozsah. Právní, regulatorní a smluvní povinnosti nejsou poznámky na okraji. Utvářejí ISMS.

NIS2 Article 21 vyžaduje vhodná a přiměřená technická, provozní a organizační opatření, včetně analýzy rizik, politik, zvládání incidentů, zálohování, obnovy po havárii, krizového řízení, zabezpečení dodavatelského řetězce, bezpečného vývoje, zvládání zranitelností, posuzování účinnosti, kybernetické hygieny, školení, kryptografie, personální bezpečnosti, řízení přístupu, správy aktiv a bezpečné komunikace. Article 20 ukládá odpovědnost na úrovni řídicích orgánů. Article 23 zavádí postupné oznamování významných incidentů, včetně včasného varování, oznámení incidentu, průběžných aktualizací a závěrečné zprávy.

DORA se přímo použije na finanční subjekty od 17. ledna 2025 a pokrývá řízení rizik v oblasti ICT, hlášení závažných incidentů, testování odolnosti, riziko třetích stran v oblasti ICT, smluvní požadavky a dohled nad kritickými poskytovateli ICT služeb z řad třetích stran. Pro finanční subjekty v působnosti se DORA stává klíčovým hybatelem správy ICT, řízení dodavatelů, testování, klasifikace incidentů a odpovědnosti vedení.

GDPR doplňuje odpovědnost za osobní údaje. Article 5 vyžaduje zákonné, korektní, transparentní, účelově omezené, přesné a bezpečné zpracování se zohledněním omezení uložení a prokazatelnosti souladu. Article 4 definuje porušení zabezpečení osobních údajů způsobem, který přímo ovlivňuje klasifikaci incidentů. Article 6 vyžaduje mapování právního základu a Article 9 doplňuje zvýšené požadavky pro zvláštní kategorie údajů.

To neznamená vytvářet oddělené světy compliance. Znamená to používat ISO 27001:2022 jako integrovaný systém řízení a mapovat povinnosti do jedné architektury rizik a opatření.

Politika řízení rizik od Clarysec propojuje ošetření rizik přímo s výběrem opatření:

„Rozhodnutí o opatřeních vyplývající z procesu ošetření rizik musí být promítnuta do SoA.“

Ze sekce „Požadavky na implementaci politiky“, ustanovení politiky 6.5.1.

Neúspěšný audit je také důvodem k přezkumu samotného procesu řízení rizik. Verze Politiky řízení rizik pro malé a střední podniky od Clarysec identifikuje tento spouštěč:

„Závažný incident nebo zjištění auditu odhalí mezery v řízení rizik“

Ze sekce „Požadavky na přezkoumávání a aktualizaci“, ustanovení politiky 9.2.1.1.

V režimu obnovy to znamená, že registr rizik, kritéria rizik, plán ošetření a SoA musí být znovu sestaveny společně.

Krok 3: Opravte SoA jako páteř dohledatelnosti

U většiny neúspěšných přechodů je Prohlášení o použitelnosti prvním dokumentem ke kontrole. Je také jedním z prvních dokumentů, které auditoři vzorkují. Slabé SoA auditorovi říká, že výběr opatření není založen na rizicích.

Zenith Blueprint poskytuje praktickou instrukci ve fázi Audit, přezkum a zlepšování, krok 24, Audit, přezkum a zlepšování:

„Vaše SoA by mělo být konzistentní s registrem rizik a plánem ošetření rizik. Znovu ověřte, že každé opatření, které jste zvolili jako ošetření rizika, je v SoA označeno jako ‚použitelné‘. Naopak, pokud je opatření v SoA označeno jako ‚použitelné‘, měli byste pro něj mít odůvodnění – obvykle namapované riziko, právní/regulatorní požadavek nebo obchodní potřebu.“

Ze Zenith Blueprint: 30krokový plán auditora, fáze Audit, přezkum a zlepšování, krok 24.

To je princip obnovy. SoA není formalita. Je to páteř dohledatelnosti mezi riziky, povinnostmi, opatřeními, důkazy implementace a auditními závěry.

Praktická oprava SoA by měla proběhnout v tomto pořadí:

1. Exportujte aktuální SoA.
2. Přidejte sloupce pro ID rizika, regulatorní povinnost, obchodní požadavek, odkaz na politiku, umístění důkazů, vlastníka, stav implementace a datum posledního testování.
3. U každého použitelného opatření namapujte alespoň jedno obhajitelné odůvodnění.
4. U každého vyloučeného opatření napište konkrétní důvod vyloučení.
5. Sesúlaďte SoA s plánem ošetření rizik.
6. Sesúlaďte SoA s výsledky interního auditu.
7. Položte si tvrdou otázku: pokud auditor vybere tento řádek, dokážeme jej prokázat do pěti minut?

Obhajitelný řádek SoA by měl vypadat takto:

Tento řádek vypráví příběh obnovy. Ukazuje obchodní kontext, logiku rizik, regulatorní relevanci, vlastnictví, implementaci, testování a zbývající opatření.

U vyloučení platí stejná disciplína. Pokud například organizace neprovádí interní vývoj softwaru, vyloučení opatření ISO/IEC 27002:2022 8.25 Secure development life cycle a opatření 8.28 Secure coding může být obhajitelné, ale pouze tehdy, pokud je to pravdivé, zdokumentované a podložené důkazy, že software je komerční hotový produkt nebo je plně outsourcován s příslušnými opatřeními pro dodavatele.

Krok 4: Proveďte analýzu kořenové příčiny, ne kosmetické úpravy dokumentů

Neúspěšný přechodový audit je zřídka způsoben jedním chybějícím souborem. Obvykle je způsoben nefunkčním procesem.

Zenith Blueprint, fáze Audit, přezkum a zlepšování, krok 27, Zjištění auditu – analýza a kořenová příčina, uvádí:

„U každé identifikované neshody (závažné nebo drobné) přemýšlejte, proč k ní došlo – to je klíčové pro účinnou nápravu.“

Ze Zenith Blueprint, fáze Audit, přezkum a zlepšování, krok 27.

Pokud zjištění říká „chybí odůvodnění v SoA“, korekcí může být aktualizace SoA. Kořenovou příčinou však může být to, že vlastníci aktiv nebyli zapojeni do posouzení rizik, právní povinnosti nebyly namapovány nebo tým compliance udržoval SoA izolovaně.

Užitečná tabulka obnovy odděluje slabé korekce od skutečných nápravných opatření:

Zde se vrací důvěryhodnost. Auditoři neočekávají dokonalost. Očekávají řízený systém, který detekuje, opravuje, učí se a zlepšuje.

Krok 5: Vybudujte CAPA, kterému auditor může důvěřovat

Nápravná a preventivní opatření jsou oblastí, kde mnoho organizací znovu získá kontrolu. Registr CAPA by se měl stát plánem obnovy a hlavním důkazem, že neúspěšný audit byl řešen systematicky.

Zenith Blueprint, fáze Audit, přezkum a zlepšování, krok 29, Neustálé zlepšování, vysvětluje strukturu:

„Ujistěte se, že každé nápravné opatření je konkrétní, přiřaditelné a časově omezené. V podstatě vytváříte malý projekt pro každý problém.“

Ze Zenith Blueprint, fáze Audit, přezkum a zlepšování, krok 29.

Vaše evidence CAPA by měla obsahovat:

• ID zjištění.
• Zdrojový audit.
• Odkaz na kapitolu nebo opatření.
• Závažnost.
• Popis problému.
• Okamžitou korekci.
• Kořenovou příčinu.
• Nápravné opatření.
• Preventivní opatření, pokud je relevantní.
• Vlastníka.
• Termín splnění.
• Požadované důkazy.
• Stav.
• Ověření účinnosti.
• Schválení vedením.

Politika monitorování auditu a souladu pro malé a střední podniky od Clarysec také identifikuje závažnou neshodu jako spouštěč přezkumu:

„Certifikační audit nebo dozorový audit vede k závažné neshodě“

Ze sekce „Požadavky na přezkoumávání a aktualizaci“, ustanovení politiky 9.2.2.

Pokud přechodový audit vytvořil závažnou neshodu, přezkoumejte samotný proces monitorování auditu a souladu. Proč interní audit problém nezjistil dříve? Proč jej přezkoumání vedením neeskalovalo? Proč SoA neodhalilo mezeru v důkazech?

Tak se neúspěšný audit stává silnějším ISMS.

Krok 6: Použijte Zenith Controls k propojení ISO důkazů s průřezovým souladem

Opakovaný audit neprobíhá izolovaně. Zákazníci, regulátoři, pojišťovny a interní týmy správy a řízení mohou na stejné důkazy nahlížet z různých úhlů. Zde má Zenith Controls hodnotu jako průvodce průřezovým souladem. Pomáhá týmům přestat zacházet s ISO 27001, NIS2, DORA, GDPR, ujišťováním ve stylu NIST a správou podle COBIT 2019 jako s oddělenými kontrolními seznamy.

Tři opatření ISO/IEC 27002:2022 jsou při obnově po přechodu zvlášť relevantní.

V Zenith Controls je opatření ISO/IEC 27002:2022 5.31 přímo provázáno s ochranou soukromí a osobně identifikovatelnými údaji (PII):

„5.34 pokrývá soulad s právními předpisy na ochranu osobních údajů (např. GDPR), což je jedna kategorie právních požadavků podle 5.31.“

Ze Zenith Controls, opatření 5.31, vazby na jiná opatření.

Pro obnovu to znamená, že právní registr nesmí stát mimo ISMS. Musí řídit SoA, plán ošetření rizik, sadu politik, vlastnictví opatření a auditní důkazy.

U opatření ISO/IEC 27002:2022 5.35 Zenith Controls zdůrazňuje, že nezávislý přezkum často zasahuje do provozních důkazů:

„Nezávislé přezkumy podle 5.35 často posuzují přiměřenost protokolování a monitorování.“

Ze Zenith Controls, opatření 5.35, vazby na jiná opatření.

To je praktické. Auditor může začít u správy a řízení a následně vzorkovat logy, upozornění, monitorovací záznamy, přezkum přístupových práv, tikety incidentů, testy záloh, přezkumy dodavatelů a rozhodnutí vedení.

U opatření ISO/IEC 27002:2022 5.36 Zenith Controls vysvětluje vztah k interní správě politik:

„Opatření 5.36 slouží jako mechanismus prosazování pravidel definovaných v 5.1.“

Ze Zenith Controls, opatření 5.36, vazby na jiná opatření.

Právě zde mnoho programů přechodu selhává. Politiky existují, ale jejich dodržování není monitorováno. Postupy existují, ale výjimky nejsou zachyceny. Opatření jsou deklarována, ale nejsou testována.

Krok 7: Připravte se na různé auditní pohledy

Silný balíček obnovy musí obstát před více než jednou auditorskou perspektivou. Certifikační auditoři ISO, dozorové orgány DORA, posuzovatelé NIS2, zainteresované strany GDPR, týmy zákaznického ujištění, hodnotitelé orientovaní na NIST a přezkoumávající osoby správy a řízení podle COBIT 2019 mohou klást různé otázky ke stejným důkazům.

Cílem není duplicitní evidence. Jeden řádek SoA pro protokolování a monitorování může podpořit ISO důkazy, očekávání detekce ve stylu NIST, zvládání incidentů podle DORA, posouzení účinnosti podle NIS2 a detekci porušení zabezpečení podle GDPR. Jeden soubor k dodavatelskému riziku může podpořit ISO opatření pro dodavatele, riziko třetích stran v oblasti ICT podle DORA, zabezpečení dodavatelského řetězce podle NIS2 a odpovědnost zpracovatele podle GDPR.

To je praktická hodnota průřezového souladu.

Krok 8: Proveďte závěrečný přezkum dokumentace a simulovaný audit

Než se vrátíte k certifikačnímu orgánu, proveďte tvrdou interní oponenturu. Zenith Blueprint, fáze Audit, přezkum a zlepšování, krok 30, Příprava na certifikaci – závěrečný přezkum a simulovaný audit, doporučuje projít kapitoly ISO 27001:2022 4 až 10 jednu po druhé a ověřit důkazy pro každé použitelné opatření Annex A.

Doporučuje:

„Zkontrolujte opatření Annex A: ujistěte se, že pro každé opatření, které jste v SoA označili jako ‚použitelné‘, máte něco, co můžete předložit.“

Ze Zenith Blueprint, fáze Audit, přezkum a zlepšování, krok 30.

Závěrečný přezkum má být přímý:

• Lze vysvětlit každé použitelné opatření?
• Lze odůvodnit každé vyloučené opatření?
• Lze doložit přijetí zbytkového rizika?
• Přezkoumalo vedení selhání přechodu, zdroje, cíle, výsledky auditu a nápravná opatření?
• Otestoval interní audit aktualizované SoA a plán ošetření rizik?
• Jsou doložena opatření pro dodavatele, cloud, kontinuitu, incidenty, ochranu soukromí, přístup, zranitelnosti, protokolování a monitorování?
• Jsou politiky schválené, aktuální, komunikované a řízené v režimu správy verzí?
• Jsou CAPA propojena s kořenovými příčinami a ověřením účinnosti?
• Lze důkazy rychle najít v centralizované auditní složce?

Politika bezpečnosti informací od Clarysec poskytuje výchozí rámec správy a řízení:

„Organizace musí implementovat a udržovat systém řízení bezpečnosti informací (ISMS) v souladu s kapitolami ISO/IEC 27001:2022 4 až 10.“

Ze sekce „Požadavky na implementaci politiky“, ustanovení politiky 6.1.1.

U malých a středních podniků musí přezkum sledovat také certifikační požadavky a regulatorní změny. Politika bezpečnosti informací pro malé a střední podniky od Clarysec uvádí:

„Tato politika musí být přezkoumána generálním ředitelem (GM) nejméně jednou ročně, aby byl zajištěn trvalý soulad s požadavky certifikace ISO/IEC 27001, regulatorními změnami (například GDPR, NIS2 a DORA) a vyvíjejícími se obchodními potřebami.“

Ze sekce „Požadavky na přezkoumávání a aktualizaci“, ustanovení politiky 9.1.1.

Právě to mnoho programů přechodu opomenulo: ISO, regulace a obchodní změny se pohybují společně.

Co říct zákazníkům během obnovy

Pokud neúspěšný nebo zmeškaný přechod ovlivňuje zákaznické smlouvy, mlčení je nebezpečné. Nemusíte zveřejnit každý detail interního auditu, ale měli byste poskytnout řízené ujištění.

Komunikační balíček pro zákazníka by měl obsahovat:

• Aktuální stav certifikace potvrzený certifikačním orgánem.
• Stav přechodového auditu a plán nápravy na vysoké úrovni.
• Potvrzení, že proces CAPA je aktivní a schválený vedením.
• Cílové termíny nápravných opatření a uzavření auditu.
• Prohlášení, že ISMS zůstává v provozu.
• Kontaktní bod pro bezpečnostní ujištění.
• Aktualizované prohlášení politiky bezpečnosti, pokud je to vhodné.
• Důkazy o kompenzačních opatřeních pro každou vysoce rizikovou oblast.

Vyhněte se vágním tvrzením typu „jsme plně v souladu“, dokud audit není vyřešen. Řekněte, co je pravda: ISMS funguje, nápravné opatření je schváleno, důkazy se konsolidují a je naplánován uzavírací přezkum nebo opakovaný audit.

To je zvlášť důležité, pokud se na vás zákazníci spoléhají jako na dodavatele v sektorech relevantních pro NIS2, jako je digitální infrastruktura, cloud, datová centra, sítě pro doručování obsahu, DNS, služby vytvářející důvěru, veřejné elektronické komunikace, řízené služby nebo řízené bezpečnostní služby. Pokud váš stav auditu ovlivňuje jejich riziko dodavatelského řetězce, potřebují důvěryhodné ujištění.

Praktický 10denní sprint obnovy

Časové rámce se liší podle certifikačního orgánu, závažnosti, rozsahu a vyspělosti důkazů. Sekvence obnovy je však spolehlivá.

Odpověď neodesílejte, dokud nevypráví soudržný příběh. Auditor musí být schopen sledovat řetězec od zjištění ke kořenové příčině, od kořenové příčiny k nápravnému opatření, od nápravného opatření k důkazům a od důkazů k přezkoumání vedením.

Pracovní postup obnovy Clarysec

Když Clarysec podporuje zmeškaný nebo neúspěšný přechod na ISO 27001:2022, organizujeme práci do cíleného pracovního postupu obnovy.

Nejde o výrobu dokumentace. Jde o obnovení důvěry, že ISMS je řízený, založený na rizicích, doložený důkazy a zlepšuje se.

Závěrečné doporučení: berte neúspěšný přechod jako zátěžový test

Zmeškaný termín přechodu na ISO 27001:2022 nebo neúspěšný přechodový audit působí jako krize, ale je také diagnostickou příležitostí. Ukazuje, zda váš ISMS dokáže absorbovat změnu, integrovat právní povinnosti, řídit dodavatele, prokázat fungování opatření a poučit se ze selhání.

Organizace, které se zotaví nejrychleji, zvládají dobře tři věci:

1. Centralizují důkazy a zastaví chaos.
2. Obnoví dohledatelnost mezi riziky, SoA, opatřeními, politikami a povinnostmi.
3. Řeší auditní zjištění prostřednictvím disciplinovaného CAPA a přezkoumání vedením.

Organizace, které se trápí, se snaží problém vyřešit úpravami dokumentů, aniž by opravily vlastnictví, monitorování, důkazy nebo kořenovou příčinu.

Pokud jste zmeškali termín nebo neuspěli v přechodovém auditu, vaším dalším krokem není panika. Je to strukturovaná obnova.

Clarysec vám může pomoci provést triáž přechodového auditu, znovu sestavit SoA, namapovat očekávání NIS2, DORA, GDPR, přístupů ve stylu NIST a COBIT 2019 prostřednictvím Zenith Controls, realizovat nápravná opatření pomocí Zenith Blueprint a sladit důkazy politik s využitím Politiky bezpečnosti informací, Politiky monitorování auditu a souladu, Politiky řízení rizik a Politiky právního a regulatorního souladu.

Problém s vaším certifikátem lze napravit. Váš ISMS může být silnější než před auditem. Pokud váš přechodový audit zůstává nevyřešený, zahajte posouzení obnovy nyní, konsolidujte důkazy a připravte balíček pro opakovaný audit, který prokáže, že váš ISMS není jen zdokumentovaný, ale skutečně funguje.