01
Cel i zakres
Podczas krótkiego warsztatu omawiamy profil organizacji, usługi krytyczne, wymagania klientów i cel audytu. Ustalamy, które wymagania trzeba potwierdzić z osobami odpowiedzialnymi za ich interpretację.
Zgodność i regulacje
Zgodność IT i ochrona danych
Pomagamy połączyć wymagania dotyczące IT z konkretnymi działaniami, odpowiedzialnością i materiałami do audytu. Rozdzielamy obowiązki prawne, wymagania klientów, przygotowanie do certyfikacji oraz własny program TrustGuard. Zakres ustalamy dla danej organizacji; usługa nie jest gwarancją jej zgodności.
Zaufali nam
Firmy i instytucje, dla których liczy się stabilne IT.
Od wymagania do planu prac
To punkt startowy dla zarządu, IT, compliance, działu prawnego i audytu wewnętrznego. Najpierw ustalamy cel, usługi krytyczne i dostępne materiały. Nie traktujemy wymienionych regulacji, norm i programów jako równoważnych obowiązków każdej firmy; zastosowanie i zakres oceniamy dla konkretnej organizacji.
Przeglądy i przygotowanie do audytu
Wybierz temat odpowiadający potrzebie. Audyt NIS2 nie zastępuje wszystkich pozostałych przeglądów, a audyt zerowy ISO nie jest formalną certyfikacją.
Audyt NIS2
Rozpoznanie właściwych wymagań, środków bezpieczeństwa, incydentów, dostawców, ciągłości i odpowiedzialności zarządu.Audyt DORA
Przegląd ryzyka ICT, odporności cyfrowej, dostawców, incydentów, testów i dokumentacji w sektorze finansowym, w zakresie właściwym dla organizacji.Audyt zerowy ISO 27001
Ocena luk systemu zarządzania bezpieczeństwem informacji, polityk, rejestrów ryzyk, ról i przeglądów przed certyfikacją.Audyt IT dla KSB 315
Kontrole IT, aplikacje, dostęp, zmiany, systemy finansowe, raporty i materiały do badania sprawozdania finansowego.Własny certyfikat Virtline
System zarządzania bezpieczeństwem informacji Virtline jest certyfikowany przez TÜV NORD Polska według PN-EN ISO/IEC 27001:2023-08. Zakres i ważność sprawdzisz w opublikowanym dokumencie. To certyfikat naszego systemu zarządzania, nie certyfikat klienta ani potwierdzenie zgodności jego środowiska.
Zobacz certyfikat VirtlineJak przebiega współpraca
Można rozpocząć od przeglądu albo wykorzystać istniejący raport. Diagnoza, decyzje, wdrożenie i dalsza obsługa mają odrębnie uzgodniony zakres.
02
Stan obecny
Przeglądamy kontrole i materiały, wskazujemy braki, ryzyka i właścicieli decyzji. Sprawdzamy także umowy, SLA, podwykonawców oraz zależności usług od dostawców.
03
Plan i wykonanie
Uzgadniamy priorytety, budżet, terminy i kryteria odbioru. Zamówione prace mogą obejmować polityki, zabezpieczenia techniczne, rejestry, szkolenia oraz uporządkowanie konfiguracji.
04
Przegląd i utrzymanie
Sprawdzamy wyniki uzgodnionych prac i kompletność materiałów. Dalsze raportowanie, przeglądy dostępu, testy oraz aktualizację dokumentacji planujemy z zespołem IT klienta lub w osobnej obsłudze.
Zakres praktyczny
Co otrzymuje firma
Rezultaty zależą od wybranego przeglądu lub wdrożenia. Dokumentacja ma opisywać faktyczne działania, a także braki i ograniczenia.
Powiązanie wymagań z kontrolami i systemami, rejestr luk, wpływ na biznes, prawdopodobieństwo i krytyczność usług. Każda rekomendacja ma uzasadnienie, priorytet, właściciela i proponowany termin.
Pilne poprawki, decyzje zarządu, prace techniczne, zależności od dostawców i potrzeby budżetowe. Osobno wskazujemy prace zakończone, otwarte i ryzyko przyjęte przez uprawnioną osobę.
Procedury, konfiguracje, logi, raporty monitoringu, wyniki odtwarzania kopii, przeglądy uprawnień, rejestry incydentów, decyzje i protokoły odbioru. Sam plik lub deklaracja nie potwierdza skuteczności kontroli.
Role zarządu, właścicieli systemów, IT, compliance i dostawców, kryteria odbioru oraz sposób potwierdzenia zakończenia prac. Uzgadniamy też przeglądy i aktualizację dokumentacji.
Dokumentacja musi odpowiadać działaniu
Procedura bez konfiguracji, logów lub testu może pozostawić lukę w ocenie kontroli. W planie uwzględniamy dostęp uprzywilejowany, MFA, backup i odtwarzanie, monitoring i eskalację incydentów, ustawienia Microsoft 365, Active Directory i urządzeń oraz nadzór nad dostawcami. Każdy obszar potrzebuje właściciela i przeglądów. W obszarze AI uwzględniamy klasyfikację systemów, ryzyka danych, przepływy informacji, dokumentację i zasady utrzymania. Wspólne działania mogą wspierać kilka wymagań, ale nie znoszą różnic ich zakresu. Firma zachowuje odpowiedzialność za decyzje i obowiązki; przygotowanie materiałów nie zastępuje oceny audytora ani niezależnej decyzji jednostki certyfikującej.
CRA i bezpieczeństwo produktów
Cyber Resilience Act dotyczy produktów z elementami cyfrowymi. Audyt luk oraz wdrożenie zabezpieczeń i procesów obsługi podatności pomagają przygotować produkt i jego dokumentację do właściwej oceny zgodności.
Programy i wdrożenia
Dalsze ścieżki po ustaleniu celu i luk. Każda ma własny zakres; nie są automatycznymi elementami każdego audytu.
-
AI Act
Klasyfikacja systemów AI, ryzyka danych, odpowiedzialność, dokumentacja i bezpieczne utrzymanie. Wymagania i terminy ustala się dla konkretnego zastosowania i roli firmy.
-
TrustGuard
Własny program dla kancelarii biegłych rewidentów i firm świadczących usługi profesjonalne: poziomy, praktyki bezpieczeństwa, dokumentacja i komunikacja z klientami. Nie zastępuje ISO ani obowiązków prawnych.
-
Wdrożenie NIS2
Plan i wykonanie uzgodnionych polityk, procedur, zabezpieczeń technicznych, rejestrów oraz zasad ich utrzymania.
-
Wdrożenie DORA
Zarządzanie ryzykiem ICT, nadzór dostawców, testy odporności, incydenty, scenariusze reakcji i raportowanie.
Zabezpieczenia i bieżąca obsługa
Wymagania łączymy z pracami w środowisku IT. Narzędzia, integracje i zakres utrzymania dobieramy osobno; zakup rozwiązania nie oznacza osiągnięcia zgodności.
-
Bezpieczeństwo IT
Audyty, testy i zabezpieczenia pomagające sprawdzić techniczne pokrycie procedur oraz usunąć wykryte luki.
-
SOC, SIEM i SOAR
Monitorowanie zdarzeń, łączenie alertów i scenariusze reakcji. Zakres narzędzi oraz obsługi wymaga uzgodnienia.
-
Backup i odtwarzanie
Retencja, testy odtworzenia i odporność kopii na ransomware. Uzgadniamy dopuszczalną utratę danych (RPO) i czas odtworzenia (RTO).
-
MFA i dostęp
Dodatkowe potwierdzanie logowania do kont, VPN, Microsoft 365 i aplikacji krytycznych oraz zasady dostępu uprzywilejowanego.
-
EDR, MDR i XDR
Wykrywanie zagrożeń, reakcja, alerty i eskalacje. Rozróżniamy ochronę urządzeń, usługę obsługi i łączenie informacji z różnych źródeł.
-
Microsoft 365
Tożsamość, poczta, udostępnianie danych, retencja, ustawienia bezpieczeństwa i przeglądy uprawnień.
-
Outsourcing IT
Uzgodnione wdrożenia i utrzymanie zabezpieczeń, procedur, raportowania oraz cyklicznych przeglądów.
Pytania o zgodność IT
Od czego zacząć: od audytu czy wdrożenia?
+
Gdy zakres wymagań i luki nie są jasne, zaczynamy od warsztatu lub odpowiedniego przeglądu. Jeśli masz już raport, możemy uzgodnić konkretne wdrożenie, właścicieli, terminy i materiały do odbioru. Nie kierujemy każdego rodzaju audytu do NIS2.
Czy można połączyć kilka obszarów w jednym planie?
+
Tak. Dostęp, kopie, monitoring, incydenty, dostawcy, role i przeglądy często służą kilku celom. Przypisujemy je do właściwych wymagań, zachowując różnicę między regulacją, normą ISO 27001, badaniem według KSB 315 i własnym programem TrustGuard. Jedna kontrola nie potwierdza spełnienia wszystkich wymagań.
Czy przegląd daje certyfikat lub potwierdza zgodność?
+
Nie sam w sobie. Audyt zerowy ISO 27001 pomaga ocenić gotowość, a formalna certyfikacja wymaga odrębnej oceny. Materiał KSB 315 wspiera pracę biegłego rewidenta, lecz nie zastępuje jego osądu. Nasz certyfikat ISO dotyczy Virtline. Obowiązki, terminy i ich interpretację trzeba ustalić dla konkretnej firmy; usługa IT nie jest gwarancją zgodności.
Czy pomagacie po audycie?
+
Tak, w uzgodnionym zakresie możemy wdrażać MFA, backup, monitoring, EDR/MDR/XDR, ustawienia Microsoft 365 i Active Directory, polityki, rejestry i szkolenia. Dalsze raportowanie, przeglądy oraz aktualizacja materiałów wymagają ustalenia odpowiedzialności i zakresu obsługi. Raport nie usuwa ryzyka, a zapisanie wyjątku nie jest jego naprawą.
Ustalmy właściwy zakres
Opisz cel audytu, regulację lub wymaganie klienta, ważne systemy i posiadane raporty. Wskażemy pierwszy krok: warsztat, przegląd, plan działań, wdrożenie albo uporządkowanie materiałów.
Omów wymagania firmy