Plan przywrócenia zgodności po nieudanym audycie ISO 27001:2022

E-mail, którego nikt nie chciał otrzymać

E-mail przychodzi późnym piątkowym popołudniem z pozornie niegroźnym tematem: „Wynik audytu przejścia”.

Treść nie jest już niegroźna. Jednostka certyfikująca stwierdziła poważną niezgodność. Certyfikat ISO/IEC 27001 został zawieszony albo decyzja dotycząca przejścia nie może zostać zamknięta. Notatka audytora jest jednoznaczna: Deklaracja stosowania nie uzasadnia wyłączonych zabezpieczeń, ocena ryzyka nie odzwierciedla aktualnego kontekstu, a dowody potwierdzające uwzględnienie nowych obowiązków regulacyjnych są niewystarczające.

W ciągu godziny problem przestaje być wyłącznie kwestią zgodności. Sprzedaż pyta, czy przetarg w sektorze publicznym jest teraz zagrożony. Dział prawny analizuje klauzule umów z klientami. Dyrektor ds. bezpieczeństwa informacji wyjaśnia, dlaczego Deklaracja stosowania nie uzgadnia się z planem postępowania z ryzykiem. Prezes zarządu zadaje jedyne pytanie, które ma znaczenie: „Jak szybko możemy to naprawić?”

Dla wielu organizacji upływ terminu przejścia na ISO 27001:2022 nie stworzył teoretycznej luki. Stworzył bieżący problem ciągłości biznesowej. Pominięty albo nieudany audyt przejścia na ISO 27001:2022 może wpływać na kwalifikowalność w przetargach, onboarding dostawców, ubezpieczenie cybernetyczne, programy zapewnienia dla klientów, gotowość wobec NIS2, oczekiwania DORA, rozliczalność zgodnie z GDPR oraz zaufanie zarządu.

Dobra wiadomość jest taka, że przywrócenie zgodności jest możliwe. Zła wiadomość: kosmetyka dokumentów nie zadziała. Przywrócenie zgodności należy potraktować jako zdyscyplinowany program działań korygujących w SZBI, a nie jako pospieszne przepisywanie polityk.

W Clarysec organizujemy takie przywracanie zgodności wokół trzech powiązanych aktywów:

1. Zenith Blueprint: 30-etapowa mapa drogowa audytora, zwłaszcza fazy Audyt, przegląd i doskonalenie.
2. Biblioteki polityk Clarysec dla przedsiębiorstw i MŚP, która przekształca ustalenia z audytu w obowiązki objęte ładem.
3. Zenith Controls: przewodnik po zgodności przekrojowej, który pomaga powiązać oczekiwania dotyczące zabezpieczeń ISO/IEC 27002:2022 z NIS2, DORA, GDPR, podejściem zapewnienia zgodności opartym na NIST oraz perspektywą ładu COBIT 2019.

To praktyczny plan przywrócenia zgodności dla CISO, menedżerów ds. zgodności, audytorów, założycieli i właścicieli biznesowych, którzy przekroczyli termin przejścia na ISO 27001:2022 albo nie zaliczyli audytu przejścia.

Najpierw zdiagnozuj tryb niepowodzenia

Przed edycją choćby jednej polityki należy sklasyfikować sytuację. Nie każde nieudane albo pominięte przejście ma taki sam wpływ biznesowy lub taką samą ścieżkę przywrócenia zgodności. Pierwsze 24 godziny należy skoncentrować na pozyskaniu raportu z audytu, decyzji jednostki certyfikującej, treści niezgodności, wniosków o dowody, terminów oraz aktualnego statusu certyfikatu.

Plan przywrócenia zgodności zależy od trybu niepowodzenia. Zablokowana decyzja certyfikacyjna wymaga ukierunkowanej remediacji. Zawieszony certyfikat wymaga pilnej naprawy ładu i dowodów. Cofnięty albo wygasły certyfikat może wymagać szerszej ścieżki ponownej certyfikacji.

W każdym przypadku należy zmapować każdy problem do właściwej klauzuli SZBI, zabezpieczenia z Załącznika A, wpisu ryzyka, właściciela polityki, obowiązku prawnego lub umownego oraz źródła dowodów.

W tym miejscu ISO/IEC 27001:2022 ma znaczenie jako system zarządzania, a nie tylko katalog zabezpieczeń. Klauzule 4–10 wymagają, aby SZBI rozumiał kontekst, strony zainteresowane, zakres, przywództwo, planowanie ryzyka, wsparcie, działania operacyjne, ocenę wyników i ciągłe doskonalenie. Jeżeli przejście się nie powiodło, zwykle zerwane jest jedno z tych powiązań systemu zarządzania.

Dlaczego audyty przejścia na ISO 27001:2022 kończą się niepowodzeniem

Nieudane audyty przejścia zwykle skupiają się wokół powtarzalnych wzorców. Wiele z nich nie ma głęboko technicznego charakteru. To niepowodzenia dotyczące ładu, identyfikowalności, właścicielstwa i dowodów.

Nieudany audyt jest sygnałem, że SZBI nie dostosował się wystarczająco szybko do rzeczywistego środowiska operacyjnego organizacji.

ISO/IEC 27005:2022 jest przydatna w przywracaniu zgodności, ponieważ wzmacnia znaczenie ustanowienia kontekstu z wykorzystaniem wymagań prawnych, regulacyjnych, sektorowych, umownych, wewnętrznych oraz istniejących wymagań dotyczących zabezpieczeń. Wspiera także kryteria ryzyka uwzględniające obowiązki prawne, dostawców, prywatność, czynniki ludzkie, cele biznesowe i zatwierdzony przez kierownictwo apetyt na ryzyko.

W praktyce przywracanie zgodności po nieudanym przejściu zaczyna się od odświeżenia kontekstu i kryteriów ryzyka, a nie od nadania staremu dokumentowi nowego numeru wersji.

Krok 1: Zamroź zapis audytu i utwórz centrum dowodzenia przywracaniem zgodności

Pierwszym błędem operacyjnym po nieudanym audycie jest chaos dowodowy. Zespoły zaczynają przeszukiwać skrzynki pocztowe, dyski współdzielone, systemy zgłoszeniowe, wiadomości czatowe, foldery osobiste i stare pakiety audytowe. Audytorzy interpretują to jako sygnał, że SZBI nie jest pod kontrolą.

Polityka Clarysec dla MŚP Polityka audytu i monitorowania zgodności — MŚP jednoznacznie określa wymaganie dotyczące kontroli dowodów:

„Wszystkie dowody muszą być przechowywane w scentralizowanym folderze audytowym.”

Z sekcji „Wymagania dotyczące wdrożenia polityki”, klauzula polityki 6.2.1.

Ten scentralizowany folder audytowy staje się kokpitem przywracania zgodności. Powinien obejmować:

• Raport jednostki certyfikującej i korespondencję.
• Potwierdzenie statusu certyfikatu.
• Rejestr niezgodności.
• Dziennik CAPA.
• Zaktualizowaną ocenę ryzyka.
• Zaktualizowany plan postępowania z ryzykiem.
• Zaktualizowaną Deklarację stosowania.
• Raport z audytu wewnętrznego.
• Protokoły z przeglądu zarządzania.
• Zapisy zatwierdzenia polityk.
• Dowody dla każdego stosowanego zabezpieczenia z Załącznika A.
• Pakiet zapewnienia dla klienta, jeżeli zobowiązania komercyjne są dotknięte problemem.

Dla środowisk korporacyjnych Polityka audytu i monitorowania zgodności Clarysec ustanawia to samo oczekiwanie w zakresie ładu:

„Wszystkie ustalenia muszą skutkować udokumentowaną CAPA, która obejmuje:”

Z sekcji „Wymagania dotyczące wdrożenia polityki”, klauzula polityki 6.2.1.

To sformułowanie wprowadza oczekiwanie ustrukturyzowanego działania korygującego. Kluczowy punkt jest prosty: każde ustalenie z audytu musi stać się pozycją CAPA objętą ładem, a nie nieformalnym zadaniem w czyimś notatniku.

W przypadku MŚP równie ważne jest zaangażowanie kierownictwa:

„GM musi zatwierdzić plan działań korygujących i śledzić jego wdrożenie.”

Z Polityki audytu i monitorowania zgodności — MŚP, sekcja „Wymagania ładu”, klauzula polityki 5.4.2.

Ma to znaczenie, ponieważ ISO 27001:2022 nie traktuje przywództwa symbolicznie. Najwyższe kierownictwo musi ustanowić politykę, dostosować cele do strategii biznesowej, zapewnić zasoby, komunikować znaczenie bezpieczeństwa informacji, przypisać odpowiedzialności i wspierać ciągłe doskonalenie.

Jeżeli nieudane przejście zostanie potraktowane jako „problem osoby od zgodności”, następny audyt ponownie ujawni słabą rozliczalność kierownictwa.

Krok 2: Odbuduj kontekst, obowiązki i ryzyko

Nieudany audyt przejścia często oznacza, że kontekst SZBI nie odzwierciedla już świata, w którym działa organizacja. Biznes mógł przejść na platformy chmurowe, dodać nowych dostawców, wejść na rynki regulowane, przetwarzać więcej danych osobowych albo stać się istotny dla klientów objętych NIS2 lub DORA. Jeżeli tych zmian brakuje w SZBI, ocena ryzyka i Deklaracja stosowania będą niekompletne.

Polityka zgodności prawnej i regulacyjnej Clarysec ustanawia punkt odniesienia:

„Wszystkie obowiązki prawne i regulacyjne muszą być zmapowane do konkretnych polityk, środków kontrolnych i właścicieli w ramach Systemu Zarządzania Bezpieczeństwem Informacji (SZBI).”

Z sekcji „Wymagania dotyczące wdrożenia polityki”, klauzula polityki 6.2.1.

Ta klauzula jest krytyczna po niepowodzeniu przejścia. Klauzule 4.1–4.3 ISO 27001:2022 wymagają, aby organizacje uwzględniały kwestie wewnętrzne i zewnętrzne, strony zainteresowane, wymagania, interfejsy, zależności i zakres. Obowiązki prawne, regulacyjne i umowne nie są przypisami. Kształtują SZBI.

NIS2 Article 21 wymaga odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych, w tym analizy ryzyka, polityk, obsługi incydentów, kopii zapasowych, odtwarzania po awarii, zarządzania kryzysowego, bezpieczeństwa łańcucha dostaw, bezpiecznego rozwoju oprogramowania, obsługi podatności, ocen skuteczności, cyberhigieny, szkoleń, kryptografii, bezpieczeństwa HR, kontroli dostępu, zarządzania aktywami i bezpiecznej komunikacji. Article 20 przenosi odpowiedzialność na poziom organu zarządzającego. Article 23 tworzy etapowe raportowanie znaczących incydentów, w tym wczesne ostrzeżenie, zgłoszenie incydentu, aktualizacje i raport końcowy.

DORA ma bezpośrednie zastosowanie do podmiotów finansowych od 17 stycznia 2025 r. i obejmuje zarządzanie ryzykiem ICT, raportowanie poważnych incydentów, testowanie odporności, ryzyko stron trzecich ICT, wymogi umowne oraz nadzór nad krytycznymi zewnętrznymi dostawcami usług ICT. Dla podmiotów finansowych objętych zakresem DORA staje się podstawowym czynnikiem sterującym ładem ICT, kontrolą dostawców, testowaniem, klasyfikacją incydentów i rozliczalnością kierownictwa.

GDPR dodaje rozliczalność za dane osobowe. Article 5 wymaga zgodnego z prawem, rzetelnego, przejrzystego, ograniczonego, dokładnego, uwzględniającego okres przechowywania i bezpiecznego przetwarzania, z możliwością wykazania zgodności. Article 4 definiuje naruszenie ochrony danych osobowych w sposób bezpośrednio wpływający na klasyfikację incydentów. Article 6 wymaga mapowania podstaw prawnych, a Article 9 dodaje zaostrzone wymagania dla szczególnych kategorii danych.

Nie oznacza to tworzenia odrębnych światów zgodności. Oznacza wykorzystanie ISO 27001:2022 jako zintegrowanego systemu zarządzania i mapowanie obowiązków do jednej architektury ryzyka i zabezpieczeń.

Polityka zarządzania ryzykiem Clarysec łączy postępowanie z ryzykiem bezpośrednio z doborem zabezpieczeń:

„Decyzje dotyczące środków kontrolnych wynikające z procesu postępowania z ryzykiem muszą być odzwierciedlone w SoA.”

Z sekcji „Wymagania dotyczące wdrożenia polityki”, klauzula polityki 6.5.1.

Nieudany audyt jest także powodem do przeglądu samego procesu zarządzania ryzykiem. Polityka Clarysec dla MŚP Polityka zarządzania ryzykiem — MŚP wskazuje taki wyzwalacz:

„Poważny incydent albo ustalenie z audytu ujawnia luki w zarządzaniu ryzykiem”

Z sekcji „Wymagania dotyczące przeglądu i aktualizacji”, klauzula polityki 9.2.1.1.

W trybie przywracania zgodności oznacza to, że rejestr ryzyk, kryteria ryzyka, plan postępowania z ryzykiem i Deklaracja stosowania muszą zostać odbudowane wspólnie.

Krok 3: Napraw Deklarację stosowania jako kręgosłup identyfikowalności

W większości nieudanych przejść Deklaracja stosowania jest pierwszym dokumentem do sprawdzenia. Jest również jednym z pierwszych dokumentów próbkowanych przez audytorów. Słaba Deklaracja stosowania mówi audytorowi, że dobór zabezpieczeń nie jest oparty na ryzyku.

Zenith Blueprint zawiera praktyczną instrukcję w fazie Audyt, przegląd i doskonalenie, Krok 24, Audyt, przegląd i doskonalenie:

„Twoja SoA powinna być spójna z Rejestrem ryzyk i Planem postępowania z ryzykiem. Sprawdź ponownie, czy każdy środek kontrolny wybrany jako element postępowania z ryzykiem jest oznaczony w SoA jako „Stosowany”. I odwrotnie: jeśli środek kontrolny jest oznaczony w SoA jako „Stosowany”, powinieneś mieć dla niego uzasadnienie — zwykle zmapowane ryzyko, wymóg prawny/regulacyjny albo potrzebę biznesową.”

Z Zenith Blueprint: 30-etapowa mapa drogowa audytora, faza Audyt, przegląd i doskonalenie, Krok 24.

To jest zasada przywracania zgodności. Deklaracja stosowania nie jest formalnością. To kręgosłup identyfikowalności pomiędzy ryzykami, obowiązkami, zabezpieczeniami, dowodami wdrożenia i wnioskami audytowymi.

Praktyczne ćwiczenie naprawy Deklaracji stosowania powinno przebiegać w następującej kolejności:

1. Wyeksportować aktualną Deklarację stosowania.
2. Dodać kolumny dla identyfikatora ryzyka, obowiązku regulacyjnego, wymogu biznesowego, odniesienia do polityki, lokalizacji dowodów, właściciela, statusu wdrożenia i daty ostatniego testu.
3. Dla każdego stosowanego zabezpieczenia zmapować co najmniej jedno możliwe do obrony uzasadnienie.
4. Dla każdego wyłączonego zabezpieczenia wskazać konkretną przyczynę wyłączenia.
5. Uzgodnić Deklarację stosowania z planem postępowania z ryzykiem.
6. Uzgodnić Deklarację stosowania z wynikami audytu wewnętrznego.
7. Zadać trudne pytanie: jeżeli audytor wybierze ten wiersz do próbkowania, czy potrafimy udowodnić go w pięć minut?

Możliwy do obrony wiersz Deklaracji stosowania powinien wyglądać następująco:

Ten wiersz opowiada historię przywracania zgodności. Pokazuje kontekst biznesowy, logikę ryzyka, znaczenie regulacyjne, właścicielstwo, wdrożenie, testowanie i pozostałe działania.

Ta sama dyscyplina dotyczy wyłączeń. Na przykład jeżeli organizacja nie prowadzi wewnętrznego rozwoju oprogramowania, wyłączenie zabezpieczenia ISO/IEC 27002:2022 control 8.25 Secure development life cycle oraz control 8.28 Secure coding może być możliwe do obrony, ale tylko wtedy, gdy jest prawdziwe, udokumentowane i poparte dowodami, że oprogramowanie jest komercyjnym produktem gotowym albo jest w całości rozwijane w outsourcingu przy wdrożonych zabezpieczeniach dotyczących dostawców.

Krok 4: Przeprowadź analizę przyczyny źródłowej, a nie kosmetykę dokumentów

Nieudany audyt przejścia rzadko jest spowodowany jednym brakującym plikiem. Zwykle wynika z nieskutecznego procesu.

Zenith Blueprint, faza Audyt, przegląd i doskonalenie, Krok 27, Ustalenia z audytu — analiza i przyczyna źródłowa, stwierdza:

„Dla każdej zidentyfikowanej niezgodności (poważnej albo drobnej) zastanów się, dlaczego wystąpiła — jest to kluczowe dla skutecznej korekty.”

Z Zenith Blueprint, faza Audyt, przegląd i doskonalenie, Krok 27.

Jeżeli ustalenie brzmi „brakuje uzasadnień w Deklaracji stosowania”, korektą może być aktualizacja Deklaracji stosowania. Ale przyczyną źródłową może być to, że właściciele aktywów nie uczestniczyli w ocenie ryzyka, obowiązki prawne nie zostały zmapowane albo zespół ds. zgodności utrzymywał Deklarację stosowania w izolacji.

Przydatna tabela przywracania zgodności oddziela słabe korekty od rzeczywistych działań korygujących:

W tym miejscu wraca wiarygodność. Audytorzy nie oczekują doskonałości. Oczekują kontrolowanego systemu, który wykrywa, koryguje, uczy się i doskonali.

Krok 5: Zbuduj CAPA, któremu audytor może zaufać

Działania korygujące i zapobiegawcze to obszar, w którym wiele organizacji odzyskuje kontrolę. Rejestr CAPA powinien stać się mapą drogową przywracania zgodności oraz podstawowym dowodem, że nieudany audyt został obsłużony systematycznie.

Zenith Blueprint, faza Audyt, przegląd i doskonalenie, Krok 29, Ciągłe doskonalenie, wyjaśnia strukturę:

„Upewnij się, że każde działanie korygujące jest konkretne, możliwe do przypisania i ograniczone w czasie. W praktyce tworzysz miniprojekt dla każdego problemu.”

Z Zenith Blueprint, faza Audyt, przegląd i doskonalenie, Krok 29.

Dziennik CAPA powinien obejmować:

• Identyfikator ustalenia.
• Audyt źródłowy.
• Odniesienie do klauzuli albo zabezpieczenia.
• Wagę.
• Opis problemu.
• Natychmiastową korektę.
• Przyczynę źródłową.
• Działanie korygujące.
• Działanie zapobiegawcze, jeśli dotyczy.
• Właściciela.
• Termin realizacji.
• Wymagane dowody.
• Status.
• Sprawdzenie skuteczności.
• Zatwierdzenie kierownictwa.

Polityka audytu i monitorowania zgodności — MŚP Clarysec również wskazuje poważną niezgodność jako wyzwalacz przeglądu:

„Audyt certyfikacyjny albo audyt nadzoru skutkuje poważną niezgodnością”

Z sekcji „Wymagania dotyczące przeglądu i aktualizacji”, klauzula polityki 9.2.2.

Jeżeli audyt przejścia spowodował poważną niezgodność, należy przejrzeć sam proces audytu i monitorowania zgodności. Dlaczego audyt wewnętrzny nie wykrył problemu jako pierwszy? Dlaczego przegląd zarządzania go nie eskalował? Dlaczego Deklaracja stosowania nie ujawniła luki dowodowej?

Tak właśnie nieudany audyt staje się silniejszym SZBI.

Krok 6: Użyj Zenith Controls, aby powiązać dowody ISO ze zgodnością przekrojową

Ponowny audyt nie odbywa się w izolacji. Klienci, regulatorzy, ubezpieczyciele i wewnętrzne zespoły ładu mogą patrzeć na te same dowody pod różnymi kątami. W tym miejscu Zenith Controls jest wartościowy jako przewodnik po zgodności przekrojowej. Pomaga zespołom przestać traktować ISO 27001, NIS2, DORA, GDPR, podejście zapewnienia zgodności oparte na NIST i ład COBIT 2019 jako odrębne listy kontrolne.

Trzy zabezpieczenia ISO/IEC 27002:2022 są szczególnie istotne w przywracaniu zgodności po przejściu.

W Zenith Controls zabezpieczenie ISO/IEC 27002:2022 control 5.31 jest bezpośrednio powiązane z prywatnością i danymi osobowymi umożliwiającymi identyfikację osoby (PII):

„5.34 obejmuje zgodność z przepisami o ochronie danych (np. GDPR), która stanowi jedną kategorię wymagań prawnych w ramach 5.31.”

Z Zenith Controls, control 5.31, powiązania z innymi środkami kontrolnymi.

Dla przywracania zgodności oznacza to, że rejestr prawny nie może znajdować się poza SZBI. Musi sterować Deklaracją stosowania, planem postępowania z ryzykiem, zestawem polityk, właścicielstwem zabezpieczeń i dowodami z audytu.

Dla zabezpieczenia ISO/IEC 27002:2022 control 5.35 Zenith Controls podkreśla, że niezależny przegląd często sięga do dowodów operacyjnych:

„Niezależne przeglądy w ramach 5.35 często oceniają adekwatność działań w zakresie rejestrowania i monitorowania.”

Z Zenith Controls, control 5.35, powiązania z innymi środkami kontrolnymi.

To praktyczne. Audytor może zacząć od ładu, a następnie próbkować logi, alerty, zapisy monitorowania, przeglądy dostępu, zgłoszenia incydentów, testy kopii zapasowych, przeglądy dostawców i decyzje zarządcze.

Dla zabezpieczenia ISO/IEC 27002:2022 control 5.36 Zenith Controls wyjaśnia relację z wewnętrznym ładem polityk:

„Control 5.36 służy jako mechanizm egzekwowania zasad zdefiniowanych w ramach 5.1.”

Z Zenith Controls, control 5.36, powiązania z innymi środkami kontrolnymi.

W tym miejscu wiele programów przejścia zawodzi. Polityki istnieją, ale zgodność z nimi nie jest monitorowana. Procedury istnieją, ale wyjątki nie są rejestrowane. Zabezpieczenia są zadeklarowane, ale nie są testowane.

Krok 7: Przygotuj się na różne perspektywy audytu

Silny pakiet przywracania zgodności powinien wytrzymać więcej niż jedną perspektywę audytora. Audytorzy certyfikacyjni ISO, organy nadzoru DORA, recenzenci NIS2, interesariusze GDPR, zespoły zapewnienia dla klientów, asesorzy zorientowani na NIST oraz recenzenci ładu COBIT 2019 mogą zadawać różne pytania dotyczące tych samych dowodów.

Celem nie jest duplikowanie dowodów. Jeden wiersz Deklaracji stosowania dotyczący rejestrowania i monitorowania może wspierać dowody ISO, oczekiwania detekcyjne w stylu NIST, obsługę incydentów DORA, ocenę skuteczności NIS2 i wykrywanie naruszeń GDPR. Jeden plik ryzyka dostawcy może wspierać zabezpieczenia ISO dotyczące dostawców, ryzyko stron trzecich ICT DORA, bezpieczeństwo łańcucha dostaw NIS2 i rozliczalność podmiotu przetwarzającego zgodnie z GDPR.

To praktyczna wartość zgodności przekrojowej.

Krok 8: Przeprowadź końcowy przegląd dokumentacji i audyt próbny

Przed powrotem do jednostki certyfikującej należy przeprowadzić wymagającą wewnętrzną weryfikację. Zenith Blueprint, faza Audyt, przegląd i doskonalenie, Krok 30, Przygotowanie do certyfikacji — przegląd końcowy i audyt próbny, zaleca sprawdzenie klauzul ISO 27001:2022 od 4 do 10 jedna po drugiej oraz walidację dowodów dla każdego stosowanego zabezpieczenia z Załącznika A.

Zaleca:

„Sprawdź środki kontrolne z Annex A: upewnij się, że dla każdego środka kontrolnego oznaczonego w SoA jako „Stosowany” masz coś do pokazania.”

Z Zenith Blueprint, faza Audyt, przegląd i doskonalenie, Krok 30.

Końcowy przegląd powinien być bezpośredni:

• Czy każde stosowane zabezpieczenie można wyjaśnić?
• Czy każde wyłączone zabezpieczenie można uzasadnić?
• Czy można wykazać akceptację ryzyka rezydualnego?
• Czy kierownictwo dokonało przeglądu niepowodzenia przejścia, zasobów, celów, wyników audytu i działań korygujących?
• Czy audyt wewnętrzny przetestował zaktualizowaną Deklarację stosowania i plan postępowania z ryzykiem?
• Czy zabezpieczenia dotyczące dostawców, chmury, ciągłości działania, incydentów, prywatności, dostępu, podatności, rejestrowania i monitorowania są poparte dowodami?
• Czy polityki są zatwierdzone, aktualne, zakomunikowane i objęte kontrolą wersji?
• Czy CAPA są powiązane z przyczynami źródłowymi i sprawdzeniami skuteczności?
• Czy dowody można szybko znaleźć w scentralizowanym folderze audytowym?

Polityka bezpieczeństwa informacji Clarysec zapewnia bazę ładu:

„Organizacja musi wdrożyć i utrzymywać System Zarządzania Bezpieczeństwem Informacji (SZBI) zgodnie z klauzulami ISO/IEC 27001:2022 od 4 do 10.”

Z sekcji „Wymagania dotyczące wdrożenia polityki”, klauzula polityki 6.1.1.

W przypadku MŚP przegląd musi również śledzić wymagania certyfikacyjne i zmiany regulacyjne. Polityka bezpieczeństwa informacji — MŚP Clarysec stanowi:

„Niniejsza polityka musi być przeglądana przez Dyrektora Generalnego (GM) co najmniej raz w roku w celu zapewnienia dalszej zgodności z wymaganiami certyfikacyjnymi ISO/IEC 27001, zmianami regulacyjnymi (takimi jak GDPR, NIS2 i DORA) oraz zmieniającymi się potrzebami biznesowymi.”

Z sekcji „Wymagania dotyczące przeglądu i aktualizacji”, klauzula polityki 9.1.1.

To dokładnie ten element, którego zabrakło w wielu programach przejścia: ISO, regulacje i zmiana biznesowa poruszają się razem.

Co powiedzieć klientom w trakcie przywracania zgodności

Jeżeli nieudane albo pominięte przejście wpływa na umowy z klientami, milczenie jest ryzykowne. Nie trzeba ujawniać każdego szczegółu audytu wewnętrznego, ale należy zapewnić kontrolowaną informację zapewniającą.

Pakiet komunikacji z klientem powinien obejmować:

• Aktualny status certyfikacji potwierdzony przez jednostkę certyfikującą.
• Status audytu przejścia oraz ogólny plan remediacji.
• Potwierdzenie, że proces CAPA jest aktywny i zatwierdzony przez kierownictwo.
• Docelowe terminy działań korygujących i zamknięcia audytu.
• Oświadczenie, że SZBI pozostaje operacyjny.
• Punkt kontaktowy ds. zapewnienia bezpieczeństwa.
• Zaktualizowane oświadczenie dotyczące polityki bezpieczeństwa, jeśli właściwe.
• Dowody środków kompensujących dla każdego obszaru wysokiego ryzyka.

Należy unikać nieprecyzyjnych twierdzeń typu „jesteśmy w pełni zgodni”, dopóki audyt nie jest rozstrzygnięty. Należy powiedzieć to, co jest prawdziwe: SZBI działa, działanie korygujące zostało zatwierdzone, dowody są konsolidowane, a przegląd zamknięcia albo ponowny audyt został zaplanowany.

Jest to szczególnie ważne, jeżeli klienci polegają na organizacji jako dostawcy w sektorach istotnych dla NIS2, takich jak infrastruktura cyfrowa, chmura, centra danych, sieci dostarczania treści, DNS, usługi zaufania, publiczna łączność elektroniczna, usługi zarządzane albo zarządzane usługi bezpieczeństwa. Jeżeli status audytu wpływa na ich ryzyko łańcucha dostaw, potrzebują wiarygodnego zapewnienia.

Praktyczny 10-dniowy sprint przywracania zgodności

Harmonogramy różnią się w zależności od jednostki certyfikującej, wagi, zakresu i dojrzałości dowodów. Sekwencja przywracania zgodności jest jednak powtarzalna.

Nie należy składać odpowiedzi, dopóki nie przedstawia spójnej historii. Audytor powinien móc prześledzić łańcuch od ustalenia do przyczyny źródłowej, od przyczyny źródłowej do działania korygującego, od działania korygującego do dowodu oraz od dowodu do przeglądu zarządzania.

Proces przywracania zgodności Clarysec

Gdy Clarysec wspiera pominięte albo nieudane przejście na ISO 27001:2022, organizujemy pracę w skoncentrowany proces przywracania zgodności.

Nie chodzi o produkowanie dokumentacji. Chodzi o przywrócenie zaufania, że SZBI jest objęty ładem, oparty na ryzyku, potwierdzony dowodami i doskonalony.

Końcowa rada: potraktuj nieudane przejście jak test obciążeniowy

Przekroczony termin przejścia na ISO 27001:2022 albo nieudany audyt przejścia wygląda jak kryzys, ale jest też okazją diagnostyczną. Pokazuje, czy SZBI potrafi absorbować zmiany, integrować obowiązki prawne, zarządzać dostawcami, udowadniać działanie zabezpieczeń i uczyć się na niepowodzeniach.

Organizacje, które przywracają zgodność najszybciej, dobrze robią trzy rzeczy:

1. Centralizują dowody i zatrzymują chaos.
2. Odbudowują identyfikowalność między ryzykiem, Deklaracją stosowania, zabezpieczeniami, politykami i obowiązkami.
3. Obsługują ustalenia z audytu poprzez zdyscyplinowane CAPA i przegląd zarządzania.

Organizacje, które mają trudności, próbują rozwiązać problem poprzez edycję dokumentów bez naprawy właścicielstwa, monitorowania, dowodów albo przyczyny źródłowej.

Jeżeli przekroczono termin albo audyt przejścia zakończył się niepowodzeniem, następnym krokiem nie jest panika. Jest nim ustrukturyzowane przywrócenie zgodności.

Clarysec może pomóc przeprowadzić triage audytu przejścia, odbudować Deklarację stosowania, zmapować oczekiwania NIS2, DORA, GDPR, podejścia zapewnienia zgodności opartego na NIST i COBIT 2019 za pomocą Zenith Controls, wykonać działania korygujące z Zenith Blueprint oraz uzgodnić dowody polityk z wykorzystaniem Polityki bezpieczeństwa informacji, Polityki audytu i monitorowania zgodności, Polityki zarządzania ryzykiem oraz Polityki zgodności prawnej i regulacyjnej.

Problem z certyfikatem można naprawić. SZBI może stać się silniejszy niż przed audytem. Jeżeli audyt przejścia pozostaje nierozstrzygnięty, rozpocznij ocenę przywracania zgodności teraz, skonsoliduj dowody i przygotuj pakiet do ponownego audytu, który potwierdzi, że SZBI jest nie tylko udokumentowany, ale działa.