Audyty

To trzy różne pytania i trzy różne raporty. Przegląd informatyczny pyta, w jakim stanie jest środowisko i co grozi zatrzymaniem pracy. Badanie bezpieczeństwa pyta, którędy da się wejść do firmy i co wtedy zobaczy napastnik. Audyt zgodności pyta o coś jeszcze innego: czy spełniacie zestaw wymagań spisany w normie albo w przepisie.

Kolejność bywa ważniejsza od samego wyboru. Firma, która nigdy nie zebrała środowiska w jeden dokument, najwięcej wyniesie z przeglądu ogólnego, bo dopiero on pokazuje, co w ogóle podlega ocenie. Firma po incydencie albo z usługami wystawionymi do internetu potrzebuje badania nastawionego na wejście do sieci, a to usługa z kategorii cyberbezpieczeństwa.

Audyt zgodności ma jeszcze jedną cechę: jego zakres wyznacza dokument zewnętrzny, więc nie da się go zawęzić dla wygody. Kiedy wymaganie stawia kontrahent, organ nadzoru albo ubezpieczyciel, to ono decyduje o zawartości raportu, a nie nasza ocena, co w tej firmie jest najpilniejsze.

Droga ma pięć kroków i każdy odpowiada innej stronie w tej kategorii: poznać wymagania normy, zmierzyć stan wyjściowy, uzupełnić brakujące elementy, spisać dokumentację pod własne procesy, wreszcie stanąć do badania jednostki. Przeskakiwanie kroków kosztuje, bo pomyłka w zakresie systemu wychodzi zwykle przy audycie, kiedy poprawki są najdroższe.

Najczęstszy błąd to zaczynanie od dokumentów. Polityki napisane przed oceną ryzyka opisują organizację, której jeszcze nikt nie zbadał, więc po analizie trzeba je pisać drugi raz. Drugi błąd to rezerwowanie terminu u jednostki pod presją klienta, zanim system przeżył choćby jeden pełny cykl przeglądów i zebrał zapisy z tego okresu.

Firma objęta przepisami sektorowymi układa tę oś inaczej i zaczyna od obowiązków z twardym terminem, a to, co dobrowolne, dokłada później. Papier da się zdobyć w kolejnym roku, terminu ustawowego przesunąć nie można. W praktyce oznacza to jedno badanie obejmujące oba zestawy wymagań i decyzję o certyfikacie odłożoną do momentu, w którym ktoś zacznie go od Was żądać.

Certyfikat wydaje akredytowana jednostka certyfikująca po własnym badaniu i to ona odpowiada za jego ważność. UXU tej roli nie pełni i pełnić nie może, bo firma budująca system nie może zarazem orzekać o jego zgodności. Właśnie rozdzielenie tych ról daje dokumentowi wartość w oczach Waszego kontrahenta.

Nasza faktura obejmuje pracę przygotowawczą: zmierzenie stanu, analizę ryzyka, dokumentację, uzupełnienie brakujących zabezpieczeń, audyt wewnętrzny oraz obecność w dniu badania. Opłatę jednostki wnosicie bezpośrednio do niej, a jej wysokość zależy od wielkości organizacji i liczby lokalizacji, nie od tego, ile pracy włożyliśmy wcześniej.

Pytanie o akredytację warto zadać na starcie każdej firmie zbierającej dla Was oferty, także nam. Propozycja, w której jeden podmiot wdraża, bada i wydaje dokument, jest tańsza wyłącznie do chwili, gdy poważny klient sprawdzi, kto stoi za akredytacją. Wtedy okazuje się, że zapłaciliście za papier, którego odbiorca nie uznaje, i cały projekt trzeba zaczynać od nowa.

W trzech sytuacjach decyzja zapada poza firmą. Przepisy o cyberbezpieczeństwie obejmują wskazane sektory i nakładają obowiązki niezależnie od tego, czy zarząd uznaje je za potrzebne. Duzi odbiorcy wpisują wymagania do umów i ankiet, a odmowa oznacza wypadnięcie z łańcucha dostaw. Ubezpieczyciele pytają o stan zabezpieczeń przed wystawieniem polisy od ryzyk cybernetycznych.

Różnica dla kupującego jest praktyczna. Badanie z własnej woli można zawęzić do tego, co najbardziej boli, i rozłożyć na etapy. Badanie wymuszone ma zakres podyktowany dokumentem, termin podyktowany cudzym kalendarzem i odbiorcę, który zapyta o dowody, a nie o dobre chęci.

Dlatego w pierwszej rozmowie pytamy nie o liczbę komputerów, tylko o to, kto postawił wymaganie i jaki termin z niego wynika. Od tej odpowiedzi zależy nawet to, czy rozmowa o certyfikacie ma sens: część firm potrzebuje wyłącznie raportu, który zamknie ankietę odbiorcy, i wydawanie pieniędzy na resztę byłoby marnotrawstwem.