Tanúsítási és audit-felkészítés

Egy ügyfél most tette a tanúsítványt a szerződés feltételévé.

A tanúsítvány mára szinte észrevétlenül az üzletszerzés egyik feltételévé vált. Nincs tanúsítvány, nincs szerződés, nincs tender — és egyre gyakrabban a nagyvállalatok beszállítói listájára sem lehet felkerülni, mivel a rájuk igaz megfelelőségi kötelezettségeket a beszállítóiktól is megkövetelik. Ráadásul ez az elvárás jellemzően szoros határidővel érkezik.

Így aztán valaki megvesz egy szabályzatsablon-csomagot, ami végül egy olyan céget ír le, amely egyáltalán nem úgy működik, mint az Öné. Aztán jön az audit: a munkatársakat interjúztatják; egy rendszer, amelyet a normál ügymenetben senki nem ellenőriz elbukik az audit 2. fázisán... vagy még rosszabb: a cég átmegy az auditon, ám az évenkénti megfelelés ilyen helyzetben olyan, mint egy ismétlődő hadiállapot, amely minden évben ugyanannyi áldozatot igényel, miközben valójában semmi haszna nincs. A tanúsítást végző szervezet ajánlata csak az auditra szólt. A tanácsadó pedig csak egy Információbiztonsági Irányítási Rendszer kiépítésére adott ajánlatot, konkrét befejezési határidő nélkül, de a két történet így sose ér össze.

Ha pedig az ISO 27001 tanúsítványuk még a 2013-as kiadása szerint került megállapításra, az 2025 októberében lejárt — vagyis tanúsítvány nélkül vannak, miközben azt hiszik, hogy tanúsítottak.

Hét lépésben, tizennégy-tizennyolc hét alatt.

1. Igényfelvétel és hatókör Időtartam: egy hét, amely egy egyórás egyeztetéssel indul. Elsőként a szponzorral tartunk egy kick-off megbeszélést, ahol pontosítjuk és megerősítjük az elvárásokat, majd ezek alapján megkezdjük az adatgyűjtést.
2. Készültségi felmérés Időtartam: egy-két hét. Az összegyűjtött adatokat a összevetjük kiválasztott szabvány, kérdőív vagy beszállítói audit minden követelményével és kontrolljával.
3. Kockázat- és kontrolltervezés Időtartam: négy hét. Ez idő alatt elkészítjük a kockázati nyilvántartást, összeállítjuk az alkalmazhatósági nyilatkozatot (SoA) — vagy az annak megfelelő kontrollkészletet — a hozzá tartozó felelősségi mátrixszal, valamint összegyűjtjük és rendszerezzük azokat a biztonsági követelményeket, amelyeket tovább kell érvényesítenie a beszállítói felé.
4. Kontrollok beépítése és bizonyítékok Időtartam: négy-hat hét. A kontrollokat konkrét, végrehajtható lépésekként beépítjük a meglévő szabályzatokba és folyamatokba, egyértelműen meghatározott felelősökkel. Ebben a szakaszban elsődleges célunk megérteni, miért alakult ki a jelenlegi működés, és meghatározni, hogyan tudják az előírt kontrollok támogatni azt, ahelyett, hogy egyszerűen egy újabb folyamati réteget építenénk rá.
5. Belső audit Időtartam: két hét. Ugyanazzal a módszertannal auditáljuk a szervezetet, amelyet később a tanúsító szervezet is alkalmazni fog, majd az így feltárt hiányosságok megszüntetésére helyesbítő intézkedéseket dolgozunk ki.
6. Vezetői áttekintés és átadás A megállapítások bemutatása, az indexelt auditbizonyíték-csomag átadása, valamint írásos állásfoglalás arról, hogy a szervezet készen áll-e az audit első fázisára (Stage 1).

• Entry — tanúsítási készültségi felmérés A csomag tartalmazza a kiválasztott szabvány vagy kérdőív követelményei alapján végzett gap analízist, amelyet egy, a hatókört meghatározó workshop előz meg. A csomag eredményeként megkapja az elemzés teljes anyagát, valamint egy egyeztetés keretében közösen áttekintjük a feltárt hiányosságokat, és felvázoljuk az auditkész állapot eléréséhez szükséges lépéseket és azok implementálásának egy lehetséges ütemezését.
• Standard — felépítve a készültségig Minden, ami ezen az oldalon szerepel, egészen a belső audit és a vezetőségi átvizsgálás elvégzéséig.
• Premium Minden, amit a Standard csomag tartalmaz, kiegészítve az auditkészségi felmérés során feltárt hiányosságok megszüntetéséhez szükséges intézkedések bevezetésének támogatásával, valamint részvételünkkel a tanúsító auditon és az esetleges ajánlások kezelésében.
• Egyedi Olyan cégeknek, akiknek egynél több szabványnak is meg kell felelniük; több telephelyre kiterjedő hatókör esetén; szabályozott termékek fejlesztésében részt vevő vállalatok számára; vagy ha a tanúsító audit során is támogatásra van szükségük.