Notranja presoja upravljanja tveganj
Nepristranska presoja ocene in obravnave tveganj glede na ISO/IEC 27001 s podporo smernic ISO/IEC 27005 in ISO 31000.
Notranja presoja upravljanja tveganj preveri, ali organizacija tveganja ocenjuje po dokumentirani metodologiji, jih obravnava z ukrepi in lastniki ter ali so rezultati sledljivi do izjave o uporabnosti. Merila so zahteve ISO/IEC 27001, ISO/IEC 27005 in ISO 31000 pa sta smernici.
Katero težavo rešujemo
Register tveganj obstaja, vendar so ocene splošne, lastniki tveganj niso določeni, načrt obravnave se ne ujema z izjavo o uporabnosti, ocena pa se po uvedbi ni več ponovila.
Zakaj je to pomembno
Ocena tveganj je izhodišče za izbor kontrol in izjavo o uporabnosti. Če je šibka, so šibki tudi vsi ukrepi, ki iz nje izhajajo.
Za koga je
- Organizacije z ISO/IEC 27001, ki pred nadzorno ali ponovno certifikacijsko presojo preverjajo oceno tveganj.
- Organizacije, ki ocene tveganj združujejo med področji (informacijska varnost, neprekinjenost, AI).
- Zavezanci po ZInfV-1 / NIS2, ki morajo dokazati analizo tveganj.
Kaj obsega delo
- Metodologija: merila tveganja, sprejemljiva raven, vloge.
- Popis virov in identifikacija tveganj.
- Analiza in vrednotenje tveganj ter uporaba rezultatov pri izboru kontrol.
- Načrt obravnave tveganj, lastniki in sprejem preostalih tveganj.
- Sledljivost: tveganje, kontrola, izjava o uporabnosti.
- Ponavljanje ocene ob spremembah in redno spremljanje.
Potek dela
Uvodni pogovor: obseg, merila, termin in preverjanje neodvisnosti.
Presojevalni načrt: merila (zahteve ISO/IEC 27001 o oceni in obravnavi tveganj, smernice ISO/IEC 27005 in ISO 31000), vzorci in seznam intervjuvancev.
Pregled dokumentacije in zapisov.
Presoja: intervjuji, opazovanje in vzorčenje zapisov.
Končni sestanek z ustnim povzetkom.
Poročilo in po dogovoru preverjanje korektivnih ukrepov.
Kaj potrebujemo od vas
- Dokument metodologije ocene tveganj in merila.
- Register tveganj, načrt obravnave in izjava o uporabnosti.
- Sklepi vodstva o sprejemu preostalih tveganj.
Kaj prejmete
- Presojevalni načrt in program presoje.
- Poročilo o presoji z ugotovitvami, dokazi in merili.
- Seznam neskladnosti in priložnosti za izboljšave.
- Povzetek za vodstvo.
Kaj ni vključeno in kje so meje
- Certifikacija ali izdaja certifikata.
- Neodvisna presoja sistema, ki smo ga pomagali vzpostaviti.
Notranja presoja ni certifikacija. Certifikat izda samo akreditiran certifikacijski organ po svoji presoji, rezultat notranje presoje pa certificiranja ne zagotavlja. Presojamo le sisteme, pri vzpostavitvi katerih nismo sodelovali. Če smo organizaciji svetovali ali pripravljali dokumentacijo, presoje ne prevzamemo ali pa to jasno navedemo in presoje ne predstavimo kot neodvisne. Plačljivega besedila standarda ne povzemamo in ne ponatiskujemo. Za zahteve v celoti uporabite uradno izdajo standarda.
ISOskladnost.com. Če potrebujete svetovanje pri vzpostavitvi sistema, ga zagotavlja ISOskladnost.com. Svetovanje in presoja istega sistema se zaradi neodvisnosti ne združujeta.
Pogosta vprašanja
Ali presodite tudi, ali so tveganja prav ocenjena?
Preverimo, ali je postopek skladen z lastno metodologijo in zahtevami standarda ter ali so ocene utemeljene. Vsebinske ocene tveganj ne izvajamo namesto lastnikov tveganj.
Ali je presoja ocene tveganj del notranje presoje ISO/IEC 27001?
Da, ocena tveganj je del sistema. Lahko jo presodimo tudi ločeno, na primer pred zunanjo presojo ali po večji spremembi okolja.
Ali je ISO 31000 mogoče certificirati?
Ne. ISO 31000 in ISO/IEC 27005 sta smernici. Merilo presoje so zahteve standardov, ki jih organizacija izpolnjuje, smernici pa pomagata pri oceni metodologije.
Viri
- ISO: ISO/IEC 27005:2022 – upravljanje tveganj informacijske varnosti (odpre se v novem zavihku)
- ISO: ISO 31000:2018 – upravljanje tveganj, smernice (odpre se v novem zavihku)
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.