Mulți clienți ne contactează cu aceeași întrebare: „Avem în curând un audit extern sau un control al autorității. Ne puteți ajuta să ne pregătim?” Răspunsul este da, iar cu cât începi mai devreme, cu atât intri în audit cu o imagine mai clară asupra situației.
Începe cu o evaluare din timp
O evaluare realizată înainte de audit îți arată unde există neconformități și ce măsuri pot fi luate înainte de control. Poate fi o analiză GAP față de cerințele aplicabile sau un audit intern de securitate, în funcție de cât timp ai la dispoziție și de cât de matur este deja sistemul de control.
Ce documentație să ai pregătită
În general, ajută să existe:
- o imagine a infrastructurii IT și un inventar al activelor;
- politici și proceduri interne, inclusiv cele de acces, de răspuns la incidente și de continuitate;
- registre de risc și rapoarte privind incidentele;
- informații despre aplicațiile și sistemele folosite și despre furnizorii relevanți;
- dovezi privind aplicarea controalelor: aprobări, jurnale, instruirea personalului, testare.
Dacă nu ai toate aceste lucruri organizate, nu este o problemă. Le putem structura împreună, pas cu pas.
Dovezile contează mai mult decât documentele
Un auditor nu se oprește la existența unei proceduri. Metodologia noastră de audit traduce obligațiile aplicabile în criterii verificabile și le testează prin revizuire de documente, interviuri, walk-through și eșantionare. Constatările sunt raportate astfel încât să evidențieze atât cauza și riscul, cât și legătura cu cerința. De aceea, merită să verifici din timp că procesele descrise în documente se aplică și în practică.
Cât timp cere echipei tale
Cât mai puțin posibil. Stabilim de la început ce informații și ce tip de acces sunt necesare și planificăm discuțiile astfel încât să reducem impactul asupra activității curente. În majoritatea proiectelor, implicarea echipei se rezumă la câteva sesiuni de lucru și la furnizarea documentației relevante.
Ce faci cu neconformitățile
Neconformitățile identificate înainte de audit nu sunt un eșec, ci o oportunitate. Le prioritizăm în funcție de risc și impact, stabilim ce poate fi rezolvat înainte de control și documentăm planul pentru restul. Un plan de remediere realist, cu responsabili și termene, arată auditorului că organizația își cunoaște riscurile și le gestionează în mod asumat.
