Audyt KRI

KRI to skrót od Krajowych Ram Interoperacyjności. Wymagania w zakresie zarządzania bezpieczeństwem informacji zostały sprecyzowane w Rozporządzeniu Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych. Zgodnie z zapisami aktu podmiot realizujący zadania publiczne opracowuje i ustanawia, wdraża i eksploatuje, monitoruje i przegląda oraz utrzymuje i doskonali System Zarządzania Bezpieczeństwem Informacji (SZBI) zapewniający poufność, dostępność i integralność informacji z uwzględnieniem takich atrybutów, jak autentyczność, rozliczalność, niezaprzeczalność i niezawodność. Jednocześnie rozporządzenie wymusza egzekwowanie szeregu działań zapewniających odpowiedni poziom bezpieczeństwa informacji. Audyt KRI to nic innego jak analiza czy wymagania z ustawy zostały spełnione.

Koszt audytu KRI zależy od wielu czynników takich jak wielkość organizacji, specyfiką jej działalności, otoczenie rynkowe, regulacje i złożoność procesów, które w niej zachodzą. Istotna jest również liczba lokalizacji i oczekiwany czas realizacji projektu, co przekłada się na strukturę kosztów i cenę ostateczną. Każdy audyt wyceniany jest przez nas indywidualnie zgodnie z zakresem potrzeb i preferowanym harmonogramem.

Audyt KRI trwa zazwyczaj do kilku miesięcy i jest uzależniony wielkością organizacji i specyfiką projektu. Harmonogram dostosowujemy do indywidualnych oczekiwań Twojej organizacji.

• Audyt organizacyjny:

1. Regulacje w obszarze zarządzania bezpieczeństwem teleinformatycznym;
2. Odpowiedzialność za bezpieczeństwo teleinformatyczne i koordynacja prac związanych z zarządzaniem bezpieczeństwem teleinformatycznym;
3. Dokumentacja z zakresu ochrony danych osobowych oraz innych aktywów informacyjnych;
4. Współpraca i zasady wymiany informacji z podmiotami trzecimi;
5. Inwentaryzacja aktywów, przypisanie aktywów do właścicieli, dopuszczenie do wykorzystania aktywów;
6. Klasyfikacja informacji
7. Zarządzanie incydentem bezpieczeństwa teleinformatycznego;
8. Rozliczanie pracowników odchodzących z organizacji (zwrot aktywów, odebranie praw dostępu);
9. Rozliczanie pracowników zmieniających stanowisko w ramach organizacji;
10. Zarządzanie ciągłością działania.

• Audyt fizyczny i środowiskowy:

1. Weryfikacja granic obszaru bezpiecznego;
2. Sprawdzenie zabezpieczeń wejścia/wyjścia;
3. Weryfikacja systemów zabezpieczeń pomieszczeń i urządzeń;
4. Sprawdzenie bezpieczeństwa okablowania strukturalnego;
5. Weryfikacja systemów chłodzenia;
6. Sprawdzenie systemów alarmowych.

• Audyt teleinformatyczny:

1. Weryfikacja istniejących procedur zarządzania systemami teleinformatycznymi;
2. Sprawdzenie ochrony przed oprogramowaniem szkodliwym;
3. Weryfikacja procedur zarządzania kopiami zapasowymi;
4. Sprawdzenie procedur związanych z rejestracją błędów;
5. Weryfikacja procedur dostępu do systemów operacyjnych, w tym zabezpieczeń przed możliwością nieautoryzowanych instalacji oprogramowania;
6. Sprawdzenie zabezpieczeń stacji roboczych i nośników danych w szczególności tych, na których przetwarzane są dane osobowe;
7. Weryfikacja haseł (ich stosowanie, przyjęta polityka ich tworzenia oraz zmiany, mechanizmy ich przechowywania);
8. Analiza i ocena mechanizmów zarządzania aktualizacjami.

Audyt KRI to rodzaj niezależnej kontroli, która analizuje między innymi dokumentację, specyfikacje, instrukcje i inne dokumenty funkcjonujące w firmie. Oprócz tego korzysta się z takich narzędzi jak wywiady i listy kontrolne. Obowiązek przeprowadzania audytu wewnętrznego reguluje rozporządzenia Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności (KRI). Zgodnie z nim podmioty realizujące zadania publiczne mają obowiązek przeprowadzania audytu co najmniej raz w roku. Warto z tego korzystać, zwłaszcza że czas potrzebny do wdrożenia ewentualnych zmian wynosi od 1 do 3 miesięcy, w zależności od stopnia uporządkowania spraw i wielkości organizacji.

Audyt możesz przeprowadzić samodzielnie pod warunkiem spełnienia wymagań, które określa rozporządzenie i norma ISO/IEC 27001. Zadanie to powinno być powierzone niezależnym ekspertom, bo tylko wtedy zyskasz gwarancję, że kontrola jest przeprowadzona prawidłowo i w jak najbardziej obiektywny sposób.

W ramach usługi audytu KRI otrzymasz raport z zaleceniami zmian i ewentualnych poprawek. W PBSG stawiamy na przejrzystość i konkretne informacje, zatem otrzymasz od nas dokument z opisem praktycznych rozwiązań i rekomendacji. Co więcej, możesz skorzystać z usługi opracowania i wdrożenia dokumentacji systemu zarządzania bezpieczeństwem informacji na zgodność z wymaganiami rozporządzenia o KRI. Jest to o tyle ważne, że rozporządzenie o KRI określa około 70 wymagań dotyczących systemu informacyjnego, zdefiniowanych w 15 obszarach, oraz około 40 wymagań dotyczących dokumentacji – warto upewnić się, że zadbało się o każdy aspekt systemu bezpieczeństwa.

Celem przeprowadzenia audytu KRI jest weryfikacja bezpieczeństwa danych i optymalizacja procesów w zakresie teleinformatyki. Przynosi to szereg korzyści dla organizacji, począwszy od aktualizacji systemu bezpieczeństwa, przez podniesienie bezpieczeństwa informacji i danych, a na dostosowaniu systemu do przepisów prawa skończywszy. Wysoki poziom bezpieczeństwa, zapewniony przez regularne audyty KRI, gwarantuje ochronę zasobów organizacji, a także zwiększa efektywność pracy. To z kolei przekłada się na podniesienie zaufania opinii publicznej.