16. Audyty bezpieczeństwa - co warto o nich wiedzieć.

Niektórzy przez audyt bezpieczeństwa rozumieją testy techniczne, testy penetracyjne środowiska, niektórzy przez audyt bezpieczeństwa rozumieją audyt taki na przykład na zgodność z normą ISO 27001. Pojawiają się jeszcze różne audyty bezpieczeństwa wymagane przepisami prawa, między innymi krajowe ramy interoperacyjności mówią o Konieczności przeprowadzenia audytu bezpieczeństwa, cyberustawa, dwa teraz takie na czasie projekty dotyczące dofinansowania na bezpieczeństwo w gminach, cyfrowa gmina tak zwana i jest też taki projekt NFZ-u, no i tam się wszędzie pojawiają tematy audytów. Bezpieczeństwa i tak naprawdę nie ma jakiejś definicji, którą można by się posłużyć. Audyt tak bardzo ogólnie, czy też jak to z punktu widzenia norm ISO, które często są audytowane pod kątem zgodności, to w rozumieniu norm ISO audyt jest to

Jak to u Państwa wygląda, tak? Jeżeli macie pytanie przykładowo, trzymajmy się tutaj tego przykładu w SUS-a, macie w SUS-a, okej, proszę mi pokazać jakąś konsolę, gdzie będziemy mogli stwierdzić, jaki jest w danym momencie stan tych aktualizacji, ile systemów w firmie jest zaktualizowanych, ile czeka na jakąś aktualizację, ile może tych aktualizacji się z jakiegoś powodu nie powiodło, bo jakiś proces się tam zwiesił, coś się nie dociągnęło, Jeżeli macie takie rozwiązanie, to proszę mi to pokazać. To taki dowód w postaci jakiegoś tam zrzutu ekranu, czy notatki wykonane przez audytora, że on widział taką konsolę, że on był w stanie z niej ustalić ten stopień Aktualizacji jest takim dowodem, jednym z przykładów takich dowodów, które można zebrać i są one oczywiście wystarczające.

Oczywiście nie ma to najmniejszego sensu, bo dobry audytor powinien być w stanie I wyłapie coś takiego, że polityka była jako wzorzec, jako szablon ściągnięta z internetu. Nie ma żadnego przełożenia na strukturę firmy, na procesy przebiegające w tej firmie. Jest to takie oszukiwanie na zasadzie, niektórzy myślą, że lepiej, żeby nam audytor powiedział, że coś mamy źle, że to się nie nadaje i trzeba to naprawić, niż przyznać mu się, że nie mamy nic, niestety nic tutaj nie wdrożyliśmy. Tak, że audytor będzie też sprawdzał te filmy pod względem tej polityki. Jeśli ściągniemy sobie z internetu i napiszemy coś, co u nas nie ma, to też tak trochę ten...

Wskazanie słabych punktów organizacji po to, żeby wspólnie później znaleźć jakieś rozwiązanie i te punkty usprawnić. I taki podział, to też w audytach się mówi o takim podziale na audyty pierwszej, drugiej, trzeciej strony. I audyty pierwszej strony to są te tak zwane audyty wewnętrzne, które organizacja sobie sama na swoje Sama na swoje potrzeby to nie musi oznaczać, że swoimi ludźmi i swoimi pracownikami. Jeżeli organizacja zleci taki audyt zewnętrznej firmie po to, żeby sama się dowiedzieć, jak to u nich wygląda, to jest to właśnie ten audyt pierwszej strony, który jest takim audytem przyjacielskim, gdzie staramy się wspólnie znaleźć te elementy, które wymagają usprawnienia.

Później mówimy o audytach drugiej strony, to są często takie audyty, Współpracujące ze sobą np. organizacje, kontrahenci, którzy często nawiązują jakieś współpracę w ramach tzw. łańcucha dostaw. Jakaś firma, matka może sprawdzać jakąś firmę, córkę czy kontrahenta i zlecić też na potrzeby wewnętrznych procesów taki audyt, przeprowadzenie tego audytu u tego kontrahenta. No i mamy audyt z tej trzeciej strony, czyli taki audyt Już na potrzeby na przykład certyfikacji, wykonywany przez zewnętrzną jednostkę certyfikującą, który kończy się już stwierdzeniem takim jasnym. Jest zgodność, nie ma zgodności, ale to jest to w takiej kolejności, właśnie one powinny przebiegać najpierw te audyty wewnętrzne, później dopiero ten audyt ewentualnie certyfikujący, no bo odwrotnie trochę by to nie miało sensu.