ISO 27001
Pomagamy przejść od oceny luk do działającego systemu zarządzania bezpieczeństwem informacji. Ustalamy zakres, odpowiedzialność, plan prac i sposób sprawdzania zabezpieczeń. Przygotowujemy dokumentację oraz zespół do audytu; o przyznaniu certyfikatu decyduje niezależna jednostka, nie Virtline.
Zaufali nam
ISO/IEC 27001 określa wymagania dla systemu zarządzania bezpieczeństwem informacji, czyli SZBI (ISMS). Audyt zerowy ocenia stan obecny i wskazuje luki. Wdrożenie obejmuje uzgodnione zmiany w procesach, dokumentacji i zabezpieczeniach. Przygotowanie do certyfikacji porządkuje wyniki audytu wewnętrznego, przeglądu zarządzania i działań korygujących przed oceną niezależnej jednostki. Nie każda firma potrzebuje pełnego wdrożenia od początku, a sama diagnoza nie jest certyfikacją. System obejmuje ludzi, procesy i technologię, nie pojedynczy produkt IT.
Łączymy prace nad systemem zarządzania z działaniami zespołu. Zakres każdej usługi ustalamy oddzielnie.
System zarządzania bezpieczeństwem informacji Virtline jest certyfikowany przez TÜV NORD Polska według PN-EN ISO/IEC 27001:2023-08. Zakres i ważność sprawdzisz w opublikowanym dokumencie.
Zobacz certyfikat VirtlinePlan dopasowujemy do istniejących rozwiązań, dostępności zespołu i celu projektu. Wyniki kolejnych etapów omawiamy z właścicielami decyzji.
Przeglądamy polityki, procesy, systemy i zapisy działania. Ustalamy granice SZBI, zależności, wymagania klientów i odpowiedzialność. W analizie uwzględniamy ISO/IEC 27001:2022 oraz właściwe wydanie krajowe, w Polsce PN-EN ISO/IEC 27001:2023-08.
Z właścicielami oceniamy ryzyka i warianty postępowania: akceptację, ograniczenie, przeniesienie lub unikanie. Uzasadniamy dobór zabezpieczeń organizacyjnych, dotyczących ludzi, fizycznych i technologicznych z Załącznika A (A.5–A.8). Kierownictwo zatwierdza decyzje i zasoby.
Przygotowujemy lub poprawiamy dokumentację, wdrażamy uzgodnione zabezpieczenia i szkolimy pracowników. Sprawdzamy procedury dostępu, incydentów i ciągłości działania. Testy odtworzenia odnosimy do uzgodnionego czasu przywrócenia usług (RTO) i dopuszczalnej utraty danych (RPO); zapisujemy wyniki i luki.
Pomagamy przeprowadzić audyt wewnętrzny, przygotować przegląd zarządzania i działania korygujące. Porządkujemy materiały i przygotowujemy zespół do rozmów z audytorem jednostki certyfikującej. Oddzielnie uzgadniamy dalsze utrzymanie SZBI.
Zakres praktyczny
Każdy materiał ma wskazywać stan faktyczny, właściciela i decyzje pozostające po stronie firmy.
Kontekst organizacji, potrzeby zainteresowanych stron, procesy, lokalizacje, systemy krytyczne, kategorie danych, aktywa i dostawcy. Raport zawiera ocenę stanu obecnego, priorytety, mapę dokumentacji i listę brakujących materiałów.
Metodyka oceny, kryteria akceptacji, rejestr z właścicielami, decyzjami, terminami i statusem działań. Przygotowujemy deklarację stosowania — Statement of Applicability (SoA) — z uzasadnieniem doboru zabezpieczeń i wyłączeń z Załącznika A.
Polityki, procedury, rejestry, role i harmonogram przeglądów. Zestawienie obejmuje dostęp, uwierzytelnianie wieloskładnikowe (MFA), konta administracyjne, rozdział obowiązków, nadawanie i odbieranie uprawnień, sieć, kopie i testy odtworzenia, logi, monitoring, aktualizacje, podatności, wymagania wobec dostawców, incydenty i zmiany.
Wyniki testów, szkoleń, ocen dostawców i audytu wewnętrznego, przegląd zarządzania, działania korygujące i otwarte kwestie. Ustalamy, kto aktualizuje dokumenty, ocenia skuteczność zabezpieczeń i przedstawia kierownictwu postęp.
Virtline doradza i pomaga wdrażać system; firma pozostaje odpowiedzialna za decyzje biznesowe, akceptację ryzyka, zasoby i codzienne stosowanie zasad. Audyt wewnętrzny planujemy z zachowaniem obiektywizmu i bezstronności, z odrębnym przypisaniem ról wdrożeniowych i oceniających. Certyfikację prowadzi niezależna jednostka, a certyfikat odnosi się do określonego zakresu SZBI. Nie gwarantujemy pozytywnego wyniku audytu, braku incydentów ani uzyskania kontraktu. Własny certyfikat Virtline nie obejmuje automatycznie klienta i nie uprawnia nas do jego certyfikowania.
Nie. Audyt zerowy pokazuje gotowość i luki, ale nie zastępuje wdrożenia wymaganych zmian ani audytu certyfikacyjnego. Virtline może pomóc przygotować system i materiały do oceny. Niezależna jednostka ustala przebieg swojej oceny i podejmuje decyzję o certyfikacji.
Orientacyjny czas wskazany w ofercie Virtline to 4–9 miesięcy, nie gwarantowany termin. Zależy od zakresu SZBI, liczby lokalizacji, procesów, systemów i dostawców, dojrzałości dokumentacji oraz dostępności zespołu i zapisów działania. Po diagnozie uzgadniamy plan i budżet. Koszt oceny jednostki certyfikującej jest odrębny od prac wdrożeniowych.
Nadal utrzymywać zabezpieczenia i dokumentację, przeglądać ryzyka i dostępy, prowadzić szkolenia, testy, audyty wewnętrzne, przeglądy zarządzania i działania korygujące. Certyfikacja zwykle ma cykl trzyletni z corocznymi audytami nadzoru, a odnowienie wymaga ponownej oceny. Dokładne daty i warunki określa jednostka certyfikująca. Virtline może wspierać bieżące utrzymanie w osobno uzgodnionym zakresie.
Nie. Uporządkowana ocena ryzyka, zabezpieczenia i zapisy mogą pomóc w ocenach NIS2, DORA, RODO, TISAX, ankietach klientów, przetargach i sprawdzaniu dostawców. Mogą też wspierać biegłego rewidenta w poznaniu środowiska IT przy badaniu według KSB 315, w tym dostępów do systemów finansowych, zmian i kopii. Każdy z tych celów ma odrębny zakres; certyfikat ISO nie potwierdza automatycznie spełnienia wszystkich obowiązków.
Opisz branżę, lokalizacje, procesy, oczekiwania klientów i planowany termin. Wskaż istniejące polityki, rejestr ryzyk i etap prac: diagnoza, wdrożenie, przygotowanie do certyfikacji lub utrzymanie. Nie przesyłaj haseł ani poufnej dokumentacji przez formularz.
Omów zakres ISO 27001