Audyt zgodności z DORA, RTS, ITS
Audyt zgodności z DORA to usługa wspierająca organizacje w zapewnieniu pełnej zgodności z wymaganiami Digital Operational Resilience Act (DORA). Głównym celem audytu jest ocena stopnia zgodności z wymaganiami DORA, RTS (Regulatory Technical Standards) oraz ITS (Implementing Technical Standards).
Zrealizowane projekty: Pracowaliśmy m.in. dla banków, domów maklerskich, firm leasingowych, energetycznych, telekomunikacyjnych, produkcyjnych oraz e-commerce.
Dowiedz się więcejKluczowe cechy usługi audyt zgodności z DORA, RTS, ITS:
- W ramach audytu oferujemy: 1) analizę procedur operacyjnych i infrastruktury IT organizacji, 2) zapewnienie zgodności z DORA oraz przygotowanie organizacji na incydenty związane z bezpieczeństwem, 3) szczegółowy raport z rekomendacjami do wdrożenia w celu poprawy zgodności.
- Audyt obejmuje weryfikację: 1) praktyk zarządzania ryzykiem – sprawdzamy, czy organizacja ma odpowiednie mechanizmy identyfikacji, oceny i reagowania na zagrożenia, zgodne z wymaganiami DORA, 2) dokumentacji, wywiadów, obserwacji oraz sprawdzenie działania mechanizmów bezpieczeństwa w organizacji.
- Na podstawie przeprowadzonej analizy, audyt pozwala zidentyfikować obszary wymagające poprawy w zakresie odporności cyfrowej, aby organizacja mogła sprostać regulacyjnym wymogom DORA.
- Końcowy raport zawiera: 1) zidentyfikowane luki i braki w systemach i procesach, 2) precyzyjne rekomendacje dotyczące poprawy procesów, systemów IT i dokumentacji w celu zapewnienia pełnej zgodności z wymaganiami DORA.
- Wyniki audytów stanowią informacje wejściowe dla procesów zarządzania ryzykiem oraz incydentami bezpieczeństwa w organizacji.
- Audyty realizowane przez ekspertów z certyfikatami, m.in. Audytora Wiodącego ISO 27001, 22301, CISA, CISM, CISSP i wieloletnim doświadczeniem we wdrażaniu systemu zarządzania bezpieczeństwem informacji.
Korzyści
Usprawnienie procesów bezpieczeństwa
Podniesienie poziomu bezpieczeństwa przetwarzania danych
Spełnienie wymagań regulacyjnych
Podwyższenie odporności na ataki
Pozyskanie wiedzy w zakresie bezpieczeństwa / ataków
Szybsze wykrywanie podatności
Zgodność regulacyjna
Pomagamy organizacjom dostosować się do standardów DORA, co zapewnia bezpieczeństwo operacyjne i gotowość na wypadek cyberzagrożeń.
Optymalizacja procesów zarządzania ryzykiem
Nasz audyt dostarcza informacji o potencjalnych lukach w procedurach zarządzania ryzykiem i proponuje efektywne środki naprawcze.
Zwiększenie odporności cyfrowej
Dzięki rekomendacjom z audytu organizacja może zwiększyć swoją odporność cyfrową i zminimalizować ryzyko operacyjne.
Praktyczne rekomendacje
Gwarantujemy szczegółowy raport z rekomendacjami, które pozwolą Twojej organizacji skutecznie spełnić wymagania regulacyjne.
Kompleksowa analiza
Zapewniamy kompleksową analizę procedur operacyjnych i IT, podkreślając praktyczne działania minimalizujące ryzyko.
Raport
Wynikiem będzie szczegółowy raport z wynikami testów oraz praktycznymi rekomendacjami, obejmujący:
- Streszczenie dla Zarządu, obejmujące:
- Cel i zakres wykonanych prac;
- Zastosowane podejście;
- Podsumowanie wyników;
- Datę sporządzenia raportu;
- Wersję dokumentu.
- Szczegółowy, techniczny opis zidentyfikowanych podatności, obejmujący:
- Zakres audytu;
- Sposób realizacji audytu;
- Datę realizacji audytu;
- Opis założeń przyjętych do audytu;
- Zestawienie zidentyfikowanych kwestii, co najmniej:
- Nazwę kwestii,
- Opis kwestii,
- Opis wpływu kwestii / opis ryzyka,
- Poziom ryzyka w skali:
- KRYTYCZNY/Critical,
- WYSOKI/High,
- ŚREDNI/Medium,
- NISKI/Low,
- INFORMACYJNY/Info.
- Rekomendacje – opis praktycznych działań, jakie należy podjąć w celu eliminacji zidentyfikowanych podatności lub minimalizacji ryzyka z nich wynikającego oraz uwzględniający specyfikę działania Klienta wraz z określeniem sposobu ich wdrożenia.
Najczęściej zadawane pytania
Autorska metodyka Optima Partners oparta jest o międzynarodowe normy (DORA, RTS, ITS) i standardy takie jak:
- ISO/IEC 27000, 27001 – Systemy zarządzania bezpieczeństwem informacji (Information security management systems)
- ISO/IEC 27002 – Techniki bezpieczeństwa – Praktyczne zasady zarządzania bezpieczeństwem informacji (Information technology — Security techniques — Code of practice for information security controls)
- ISO/IEC 27003 – Wytyczne dotyczące wdrażania ISMS (Information technology — Security techniques — Guidance for the implementation of an information security management system)
- ISO/IEC 27004 – Monitorowanie, pomiar, analiza i ocena bezpieczeństwa informacji (Information technology — Security techniques — Information security management — Monitoring, measurement, analysis and evaluation)
- ISO/IEC 27005 – Technika informatyczna — Techniki bezpieczeństwa — Zarządzanie ryzykiem w bezpieczeństwie informacji (Information technology — Security techniques — Information security risk management)
- ISO/IEC 27007 – Wytyczne dotyczące audytowania ISMS (Information technology — Security techniques — Guidelines for information security management systems auditing)
- ISO/IEC 27008 – Ocena środków bezpieczeństwa informacji (Information technology — Security techniques — Guidelines for the assessment of information security controls)
- ISO/IEC 27009 – Zastosowanie ISO/IEC 27001 w określonych sektorach (Information technology — Security techniques — Sector-specific application of ISO/IEC 27001)
- ISO/IEC 27010 – Zarządzanie bezpieczeństwem informacji w komunikacji międzysektorowej i międzyorganizacyjnej (Information technology — Security techniques — Information security management for inter-sector and inter-organizational communications)
- ISO/IEC 27011 – Zarządzanie bezpieczeństwem informacji w sektorze telekomunikacyjnym (Information technology — Security techniques — Information security management guidelines for telecommunications organizations based on ISO/IEC 27002)
- ISO/IEC 27014 – Zarządzanie bezpieczeństwem informacji – Ład korporacyjny (Information technology — Security techniques — Governance of information security)
- ISO/IEC 27016 – Zarządzanie bezpieczeństwem informacji – Aspekty ekonomiczne (Information technology — Security techniques — Organizational economics)
- ISO/IEC 27017 – Wytyczne dotyczące kontroli bezpieczeństwa informacji dla usług w chmurze (Information technology — Security techniques — Code of practice for information security controls based on ISO/IEC 27002 for cloud services)
- ISO/IEC 27018 – Ochrona danych osobowych w chmurze publicznej (Information technology — Security techniques — Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors)
- ISO/IEC 27019 – Zarządzanie bezpieczeństwem informacji w sektorze energetycznym (Information technology — Security techniques — Information security controls for the energy utility industry)
- ISO/IEC 27701 – Rozszerzenie ISMS o zarządzanie informacjami prywatnymi (PIMS) (Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines)
- ISO/IEC 27031 – Wytyczne dotyczące gotowości ICT na potrzeby ciągłości działania (Information technology — Security techniques — Guidelines for ICT readiness for business continuity)
- ISO/IEC 27035 – Zarządzanie incydentami bezpieczeństwa informacji (Information technology — Security techniques — Information security incident management)
- ISO/IEC 22301 – Bezpieczeństwo i odporność — Systemy zarządzania ciągłością działania (Security and resilience — Business continuity management systems)
Tak, posiadamy certyfikaty potwierdzające kwalifikacje zespołu takie, jak:
- CIA (Certified Internal Auditor),
- CISA (Certified Information Security Auditor),
- CISM (Certified Information Security Manager),
- Audytor Wiodący ISO 27001,
- Audytor Wiodący ISO 22301
- CRISC (Certified in Risk and Information Systems Control),
- CBCP – Certified Business Continuity Professional (DRII),
- Certified ISO 31000 Risk Manager (PECB),
- ITIL Foundation,
- ITIL Intermediate,
- Prince2 Practitioner.
i wiele więcej…
Posiadamy zespół:
5 audytorów bezpieczeństwa posiadających m.in. następujące certyfikaty: Audytor Wiodący ISO 27001, Audytor Wiodący ISO 22301 – szczegółowy opis posiadanych certyfikatów znajduje w odpowiedzi na pytanie na stronie głównej.
W zależności od złożoności organizacji audyt może trwać od 3 do 8 tygodni.
Wynikiem naszych prac jest raport z niezależną oceną zgodności z DORA, który może być zaprezentowany zainteresowanym stronom (udziałowcom, kontrahentom, klientom) wraz z praktycznymi rekomendacjami.
Zakres raportu opisany jest powyżej.
Na bieżąco komunikujemy się z Klientem w czasie projektu. Do realizacji projektu dedykujemy:
- Audytora Wiodącego, z którym można się na bieżąco kontaktować w sprawach dotyczących realizacji audytu, zidentyfikowanych kwestii, itp.
- Project Managera, z którym można się na bieżąco kontaktować w sprawach dotyczących zarządzania projektem, terminów, problemów, ryzyk, itp.
Tak, zakres naszych prac obejmuje:
- wsparcie w zakresie usuwania wykrytych niezgodności
- re-audyt
- konsultacje i szkolenia w zakresie usuwania niezgodności.
Tak.
Stosujemy m.in. następujące zabezpieczenia zgodne z ISO 27001:
- Kontrola dostępu do serwerowni, serwerów, zasobów sieciowych, na których składowane są dane i raporty.
- Szyfrowanie dysków twardych.
- Szyfrowanie plików za pomocą PGP.
- Szyfrowanie załączników przesyłanych emailem za pomocą PGP.
- Szyfrowanie treści emaili.
- Ciągłe monitorowanie dostępu do danych i raportów.
- Itp.
Tak, oferujemy wdrożenia DORA, testy penetracyjne aplikacji webowych, mobilnych, desktopowych, infrastruktury, chmury, szkolenia z bezpieczeństwa, testy socjotechniczne i inne.
Optima Partners posiada odpowiednie ubezpieczenia zgodne z wymaganiami DORA.