AUDYT BEZPIECZEŃSTWA INFORMACJI ISO 27001

Audyt teleinformatyczny i audyt bezpieczeństwa informacji dla jednostek publicznych

UoKSC oraz Krajowe Ramy Interoperacyjności wymagają od podmiotów realizujących zadania publiczne okresowego audytu wewnętrznego bezpieczeństwa informacji, nie rzadziej niż raz w roku. Przeprowadzamy taki audyt i przygotowujemy raport, z którego kierownik jednostki dowie się, co działa, co wymaga poprawy i w jakiej kolejności

Rodzaje audytów

Coroczny audyt bezpieczeństwa informacji (KRI). Sprawdzamy dokumentację SZBI i to, czy jest stosowana w praktyce: rejestry, upoważnienia, szkolenia, kopie zapasowe, obsługę incydentów, przegląd zarządzania. Audyt prowadzi certyfikowany audytor wiodący ISO/IEC 27001, według tej samej metodyki co audyty systemów zarządzania. Ustalenia klasyfikujemy jako niezgodności duże, niezgodności małe i obszary do doskonalenia, a każde z nich opieramy na konkretnym dowodzie.

Audyt teleinformatyczny. Inwentaryzujemy i oceniamy infrastrukturę: serwery, sieć LAN i Wi-Fi, stacje robocze, kopie zapasowe, zabezpieczenia brzegowe, licencje. Na życzenie uzupełniamy go podstawowymi testami penetracyjnymi oraz kontrolowaną kampanią phishingową.

Audyt jako wkład do wniosku o dofinansowanie. Programy finansujące cyberbezpieczeństwo w samorządach wymagają opisu stanu obecnego i uzasadnienia zakupów. Przygotowujemy audyt w formie, którą da się bezpośrednio wykorzystać w studium wykonalności lub we wniosku. W 2026 roku wykonaliśmy taki audyt dla Urzędu Miejskiego w Wolsztynie, jako dane wejściowe do studium wykonalności w naborze FEWP.15.01-IZ.00-004/26.

Co dostaje jednostka

  • raport z ustaleniami, dowodami i oceną ryzyka dla każdego z nich,
  • listę rekomendacji uszeregowaną według pilności i przybliżonego kosztu,
  • spotkanie podsumowujące z kierownikiem jednostki,
  • przy audycie KRI: materiał do przeglądu zarządzania i planu działań korygujących.

Niezależność audytora

Nie audytujemy jednostek, w których sami pełnimy funkcję Pełnomocnika ds. SZBI lub administratora systemów. Audytor nie powinien oceniać własnej pracy. Takim klientom wskazujemy innego audytora albo organizujemy audyt krzyżowy.

Audyt z ustawy o krajowym systemie cyberbezpieczeństwa

Znowelizowana ustawa o KSC nakłada na podmioty kluczowe obowiązek audytu bezpieczeństwa systemu informacyjnego. Pierwszy taki audyt trzeba przeprowadzić do 3 kwietnia 2028 r., a kolejne co najmniej raz na trzy lata. Podmiot ważny może zostać zobowiązany do audytu decyzją organu, na przykład po poważnym incydencie. Wykonujemy audyty zgodne z art. 15 ustawy o KSC. Zgodnie z wymogami ustawy prowadzi je zespół co najmniej dwóch audytorów z certyfikatami lub praktyką określonymi w przepisach. Na życzenie poprzedzamy audyt ustawowy audytem przygotowawczym, który pokazuje luki do usunięcia, zanim trafią do raportu przekazywanego organom.

Kwalifikacje

Certyfikowany audytor wiodący (Lead Auditor) systemu zarządzania bezpieczeństwem informacji według ISO/IEC 27001. Praktyka w audytach teleinformatycznych urzędów i w pełnieniu funkcji Pełnomocnika ds. SZBI. Autor książki „Testy penetracyjne jako narzędzie projektowania bezpiecznego środowiska IT w urzędzie”.

Zakres audytu zależy od wielkości jednostki i celu, dla którego jest potrzebny. Prosimy napisać, jakiego audytu Państwo potrzebują i do kiedy.