Audyt ISO 27001: o co poprosi audytor

1. 1.

   Poproszę o udokumentowaną politykę zarządzania podatnościami technicznymi.

   Audytor sprawdza, czy istnieje zatwierdzony dokument opisujący role, częstotliwość skanowania i terminy naprawy — oraz czy praktyka mu odpowiada. Sama polityka bez dowodu stosowania to za mało.

   Secvalis pokrywa częśćDokument polityki VMProcedura VM

   Obszar: udokumentowane polityki i procedury zarządzania podatnościami

2. 2.

   Poproszę o wykaz systemów objętych skanowaniem i informację, co zostało z niego wyłączone.

   Pytanie dotyczy nie tylko znalezionych podatności, ale i maszyn poza zakresem skanowania. Wykaz musi dać się zestawić z rzeczywistą infrastrukturą, a wyłączenia — uzasadnić.

   Secvalis pokrywa częśćEwidencja maszyn + kontekstKrytyczność aktywów

   Obszar: wykaz aktywów i zakres objęty zarządzaniem podatnościami

3. 3.

   Poproszę o dowód, że skanowanie odbywa się cyklicznie, a nie raz przed audytem.

   Liczy się historia: daty kolejnych skanów i pokrycie floty w czasie. Pojedynczy raport z zeszłego tygodnia dowodzi tylko tego, że narzędzie działa.

   Secvalis generuje ten dowódŚledzenie SLA napraw + raport pokrycia

   ISO/IEC 27001, Załącznik A: A.8.8 (zarządzanie podatnościami technicznymi)

4. 4.

   Poproszę o zdefiniowane terminy naprawy według krytyczności i dowód ich dotrzymywania.

   Audytor pyta o dwie rzeczy naraz: czy terminy w ogóle są ustalone i ile z nich zostało dotrzymanych. Przekroczenia terminów zwykle są przedmiotem osobnych pytań o przyczynę i sposób obsługi.

   Secvalis pokrywa częśćŚledzenie SLA napraw + raport pokryciaFeed CVE/KEV w priorytetyzacji

   ISO/IEC 27001, Załącznik A: A.8.8 (zarządzanie podatnościami technicznymi)

5. 5.

   Poproszę o rejestr podatności świadomie zaakceptowanych, z uzasadnieniem i terminem przeglądu.

   Nie każdą podatność da się naprawić. Audytor chce zobaczyć, że decyzja o odstąpieniu jest podjęta świadomie, przez uprawnioną osobę i na określony czas, a nie że problem po prostu zniknął z listy.

   Secvalis pokrywa częśćRejestr akceptacji ryzykaPowiązanie akceptacji ze zmianą

   Obszar: postępowanie z ryzykiem i świadoma akceptacja ryzyka przez uprawnioną osobę

6. 6.

   Poproszę o ślad, kto i kiedy zmienił status podatności albo zaakceptował ryzyko.

   To pytanie o rozliczalność. Zwykle chodzi o dziennik zdarzeń z identyfikacją osoby, czasem i rodzajem zmiany, dający się wyeksportować i przeczytać poza systemem.

   Secvalis pokrywa częśćDziennik działańDziennik działań / skany

   Obszar: rozliczalność — zapisy zdarzeń i decyzji

7. 7.

   Poproszę o listę systemów bez wsparcia producenta i plan postępowania z nimi.

   System po końcu wsparcia nie dostaje już poprawek, więc żaden proces łatania go nie obroni. Pytania dotyczą zwykle tego, czy taki system jest znany, uzasadniony i czy ma wyznaczony termin wyjścia.

   Secvalis pokrywa częśćRaport EOL floty

   ISO/IEC 27001, Załącznik A: A.8.8 (zarządzanie podatnościami technicznymi) — systemy bez wsparcia producenta

8. 8.

   Poproszę o listę osób z dostępem do narzędzia i sposób ich uwierzytelniania.

   Narzędzie do zarządzania podatnościami samo jest zasobem wrażliwym — zna słabe punkty całej infrastruktury. Audytor sprawdza zakres uprawnień i drugi składnik logowania.

   Secvalis pokrywa częśćStan MFA członków kontaWymuszenie MFA + pokrycie członków

   ISO/IEC 27001, Załącznik A: A.5.18 (prawa dostępu) oraz uwierzytelnianie użytkowników

9. 9.

   Poproszę o wyjaśnienie, jak zabezpieczacie dowody przed zmianą po fakcie.

   Pytanie pada zwykle wtedy, gdy dowód jest wygodny dla podmiotu. Dotyczy tego, jak powstaje pakiet dowodowy za zamknięty okres, jak dowody są zbierane i co pozwala wykryć ich późniejszą modyfikację.

   Secvalis generuje ten dowódZamrożone okresy / pakiet dowodów

   Obszar: zbieranie i zabezpieczanie dowodów

10. 10.

    Poproszę o dowody szkoleń i budowania świadomości zespołu.

    Listy obecności, materiały, daty, zakres tematyczny. Dowód dotyczy ludzi, nie systemów, więc żadne narzędzie skanujące go nie wytworzy.

    Przygotowujesz sam

    Dowód dotyczy ludzi i procesu szkoleniowego, których Secvalis nie obserwuje.

    Obszar: kompetencje i świadomość personelu

11. 11.

    Poproszę o dowód wykonywania kopii zapasowych i wynik testu odtworzenia.

    Sam fakt robienia kopii nie wystarcza — audytor pyta o odtworzenie, bo dopiero ono dowodzi, że kopia jest użyteczna.

    Przygotowujesz sam

    Kopie zapasowe i testy odtworzenia realizowane są poza platformą.

    Obszar: kopie zapasowe i odtwarzanie danych

12. 12.

    Poproszę o protokół przeglądu zarządzania i cele bezpieczeństwa na kolejny okres.

    Audytor sprawdza, czy kierownictwo faktycznie patrzy na dane i podejmuje decyzje. Raport, którego nikt nie omówił, nie jest dowodem nadzoru.

    Przygotowujesz sam

    Przegląd zarządzania jest czynnością kierownictwa; platforma dostarcza do niego dane, ale nie prowadzi samego przeglądu.

    Obszar: nadzór kierownictwa nad systemem zarządzania i cele bezpieczeństwa

13. 13.

    Poproszę o zasady bezpieczeństwa w relacjach z dostawcami i dowód ich stosowania.

    Dotyczy umów, wymagań ofertowych i przeglądów dostawców. Zakres wykracza poza infrastrukturę techniczną.

    Przygotowujesz sam

    Relacje z dostawcami są procesem organizacyjnym poza zakresem platformy.

    Obszar: bezpieczeństwo w relacjach z dostawcami

Materiał informacyjny, nie porada prawna. Lista jest orientacyjna i nie jest wyczerpująca — zakres żądań zależy od audytora, jednostki certyfikującej i specyfiki podmiotu. Nie rozstrzyga o statusie prawnym czytelnika ani o wyniku audytu.