Одит
Годишен вътрешен одит по киберсигурност
Наредбата за минималните изисквания изисква вътрешен одит поне веднъж годишно и допуска той да се извърши от трета страна от името на организацията. Провеждаме го независимо: проверяваме дали мерките работят на практика и оставяме доклад с несъответствия и срокове.
Преди началото потвърждаваме писмено обхвата и цената.
Да обсъдим Вашия случайКога Ви е нужна тази услуга
- Не е правен вътрешен одит по сигурността през последната година.
- Искате независим поглед, преди да дойде проверка от органа или сертификационен одит.
- Подготвяте се за ISO 27001 и Ви трябва вътрешен одит.
Ползата за Вашата организация
- Изпълнявате изискването за годишен вътрешен одит с независим одитор.
- Ръководството вижда кои мерки работят на практика и кои само на хартия.
- Всяко несъответствие има срок и отговорник за отстраняване.
Годишен вътрешен одит
Годишна програма и план, проверка на документи и записи, интервюта и проверка на място на избрани мерки. Доклад за ръководството.
от 3 900 €обичайно 2–3 седмици
Какво включва цената
Една организация до 100 служители и до 10 основни системи. За по-голяма организация, повече звена или няколко стандарта едновременно изготвяме писмена оферта.
по офертаза по-голям обхват
Примерен резултат
Демонстрационен пример — не е реален клиент.
| Изискване | Констатирано състояние | Срок за отстраняване |
|---|---|---|
| Преглед на достъпите на всеки 6 месеца (политика, т. 4.2) | Последен преглед: март 2025 г. | 31.12 |
| Тест за възстановяване поне веднъж годишно | Няма протокол за 2026 г. | 15.01 |
| Обучение на служителите | Новопостъпилите от 2026 г. не са преминали обучение | 30.11 |
Какво изисква регулацията
- Наредбата от 2019 г. изисква вътрешни одити поне веднъж годишно, по документирани процедури и годишна програма, от лица с квалификация в областта на контрола и мрежовата и информационна сигурност (чл. 35, ал. 3).
- Одитът може да се извърши от служители или от трета страна от името на организацията (чл. 35, ал. 1, т. 1). Одиторът не може да одитира собствената си дейност.
- При несъответствие се документират изискването, констатираното състояние и срокът за отстраняване. Резултатите са с класификация TLP-AMBER.
- Законът за киберсигурност изисква политики и процедури за оценяване на ефективността на мерките (чл. 22, ал. 2, т. 6). ISO 27001 изисква вътрешни одити на планирани интервали.
- Проверяваме коя наредба по чл. 3 от закона се прилага към момента на одита.
Как протича
- Годишна програма и план на одита, одобрени от ръководството.
- Преглед на документите и записите: политики, регистри, доклади от проверки, договори с доставчици.
- Интервюта с отговорниците и проверка на място на избрани мерки: достъпи, резервни копия и възстановяване, инциденти, доставчици.
- Работим по БДС EN ISO 19011, с извадка и доказателства за всяка констатация.
Какво получавате
- Доклад с констатации: за всяко несъответствие изискването, състоянието и срокът за отстраняване.
- Резюме за ръководството с приоритетите.
- Проследяване на отстраняването при следващия одит или по договор.
Независимост
Ако Диасол е внедрявал мерките, не одитираме собствената си работа: препоръчваме друг одитор или одитираме само частите, по които не сме работили. Ако се подготвяте за сертификация, вижте оценката и пакета доказателства.
Граници
- Това е вътрешен одит, не сертификационен одит. Сертификацията се извършва от акредитиран сертифициращ орган.
- Одитът не заменя проверка от компетентния орган.
Обща информация, не правно становище.