Listy kontrolne przygotowania do audytu ISO 27001

Przegląd

Znajdziesz sprawdzone listy kontrolne, które pomogą przygotować się do certyfikacji ISO 27001 oraz audytów nadzoru przy użyciu ISMS Copilot – od przeprowadzania analiz luk, zbierania dowodów, generowania dokumentacji gotowej do audytu po pewne odpowiadanie na pytania audytorów.

Dla kogo jest ten materiał

Te listy kontrolne zostały zaprojektowane dla:

• Organizacji przygotowujących się do pierwszego audytu certyfikacyjnego ISO 27001
• Zespołów ds. bezpieczeństwa przeprowadzających ocenę gotowości przed audytem
• Menedżerów ds. zgodności przygotowujących się do audytów nadzoru lub recertyfikacji
• Konsultantów wspierających klientów w procesie audytu

Zanim zaczniesz

Listy kontrolne analizy luk

Przeprowadź kompleksową analizę luk ISO 27001

"Przeprowadź kompleksową analizę luk naszego obecnego programu bezpieczeństwa informacji w odniesieniu do wymagań ISO 27001:2022. Dla każdego punktu (4-10) oraz każdej z 93 kontroli Załącznika A: oceń obecny stan (W pełni wdrożone, Częściowo wdrożone, Niewdrożone, Nie dotyczy), zidentyfikuj konkretne luki lub słabości, oceń dostępność dowodów do audytu, określ stopień ważności luki (Krytyczny, Wysoki, Średni, Niski), oszacuj nakład pracy potrzebny do zamknięcia luki (godziny/dni), zaproponuj działania naprawcze oraz przypisz priorytet. Przedstaw w formie raportu z analizy luk wraz ze streszczeniem dla zarządu."

Analizuj kompletność dokumentacji

"Przejrzyj naszą dokumentację ISO 27001 pod kątem kompletności i gotowości do audytu. Sprawdź: Czy posiadamy wszystkie wymagane informacje udokumentowane zgodnie z punktami 4-10? Czy nasza ocena ryzyka spełnia wymagania punktu 6.1.2? Czy nasze Oświadczenie o Zastosowaniu (SoA) jest kompletne i uzasadnione? Czy polityki odnoszą się do odpowiednich punktów ISO? Czy procedury są wystarczająco szczegółowe, aby wykazać wdrożenie? Czy udokumentowano kontrolę wersji i zatwierdzenia? Czy występują luki w inwentarzu dokumentów? Utwórz checklistę dokumentacji ze statusem i lukami."

Oceń dowody wdrożenia kontroli

"Dla każdej kontroli Załącznika A oznaczonej jako 'Wdrożona' w naszym Oświadczeniu o Zastosowaniu, zidentyfikuj, jakie dowody będą wymagane przez audytorów w celu weryfikacji wdrożenia. Dla kontroli [numer i nazwa kontroli]: wymień rodzaje potrzebnych dowodów (polityki, procedury, logi, zrzuty ekranu, raporty, zapisy), wskaż, gdzie dowody się znajdują (system, lokalizacja, właściciel), oznacz luki w dowodach wymagające uzupełnienia, oceń jakość dowodów (kompletne, częściowe, słabe) oraz zaproponuj dodatkowe dowody w celu wzmocnienia wykazania zgodności."

Oceń poziom dojrzałości SZBI

"Oceń dojrzałość naszego SZBI w odniesieniu do wymagań ISO 27001, używając 5-stopniowego modelu dojrzałości: Poziom 1 (Początkowy/Doraźny), Poziom 2 (Zarządzany), Poziom 3 (Zdefiniowany), Poziom 4 (Zarządzany ilościowo), Poziom 5 (Optymalizujący). Dla każdego głównego obszaru (zarządzanie ryzykiem, kontrola dostępu, reagowanie na incydenty, zarządzanie zmianami, ciągłość działania, zarządzanie dostawcami): oceń obecny poziom dojrzałości z uzasadnieniem, zidentyfikuj możliwości poprawy, aby osiągnąć kolejny poziom, oraz zaproponuj priorytetowe działania w celu przygotowania do audytu."

Listy kontrolne zbierania dowodów

Utwórz checklistę zbierania dowodów

"Wygeneruj kompleksową checklistę zbierania dowodów na potrzeby audytu certyfikacyjnego ISO 27001:2022. Uporządkuj według numeru kontroli Załącznika A, a dla każdej kontroli uwzględnij: typ dowodu (dokument, log, zrzut ekranu, konfiguracja, raport), opis dowodu, odpowiedzialnego za zebranie, lokalizację dowodu (system/folder), termin zebrania (tygodnie przed audytem) oraz status weryfikacji. Nadaj priorytet dowodom dla kontroli wysokiego ryzyka oraz często audytowanych obszarów (kontrola dostępu, reagowanie na incydenty, kopie zapasowe)."

Dokumentuj wdrożenie kontroli

"Utwórz pakiet dowodów wdrożenia dla kontroli Załącznika A [numer i nazwa kontroli]. Uwzględnij: pisemny opis sposobu wdrożenia kontroli, odniesienia do polityk i procedur, szczegóły techniczne wdrożenia (konfiguracje, narzędzia, procesy), artefakty dowodowe (próbki logów, zrzuty ekranu, raporty), wyniki testowania kontroli, właściciela kontroli i odpowiedzialności, harmonogram wdrożenia oraz znane ograniczenia lub wyjątki wraz z kontrolami kompensacyjnymi."

Przykład: "Utwórz pakiet dowodów wdrożenia dla kontroli Załącznika A A.8.5 Bezpieczne uwierzytelnianie. Udokumentuj nasze wdrożenie Azure AD z MFA, politykami haseł, zarządzaniem dostępem uprzywilejowanym oraz rotacją kont usługowych."

Przygotuj dowody kontroli dostępu

"Zgromadź dowody potwierdzające wdrożenie naszego programu kontroli dostępu dla kontroli ISO 27001 A.5.15-A.5.18. Uwzględnij: procedury nadawania dostępu użytkownikom oraz próbki zapisów zatwierdzeń, dowody przeglądów dostępu (ostatnie 3 przeglądy z wynikami), inwentarz dostępu uprzywilejowanego i proces zarządzania, politykę uwierzytelniania oraz statystyki wdrożenia MFA, zrzuty ekranu konfiguracji polityki haseł, zapisy dezaktywacji kont dla ostatnich 10 zwolnień, incydenty naruszenia dostępu i działania naprawcze oraz macierz kontroli dostępu opartą na rolach."

Dokumentuj zdolność reagowania na incydenty

"Przygotuj pakiet dowodów dla kontroli reagowania na incydenty A.5.24-A.5.28. Uwzględnij: plan i procedury reagowania na incydenty, strukturę zespołu reagowania na incydenty oraz dane kontaktowe, dziennik incydentów z ostatnich 12 miesięcy (zanonimizowany w razie potrzeby), próbki zapisów incydentów pokazujące przepływ pracy, definicje kategorii i poziomów ważności incydentów, dowody testowania lub ćwiczeń reagowania na incydenty, raporty z przeglądów poincydentowych oraz metryki incydentów bezpieczeństwa raportowane zarządowi."

Zbierz dowody kopii zapasowych i odzyskiwania

"Zgromadź dowody kopii zapasowych i odzyskiwania dla kontroli A.8.13. Uwzględnij: politykę i procedury tworzenia kopii zapasowych, harmonogram i zakres kopii zapasowych (jakie systemy/dane), logi sukcesów/niepowodzeń kopii zapasowych z ostatnich 30 dni, lokalizacje przechowywania kopii zapasowych i środki bezpieczeństwa, wyniki testów przywracania kopii zapasowych (najnowszy test), cele czasu odzyskiwania (RTO) i cele punktu odzyskiwania (RPO) według systemu, weryfikację szyfrowania kopii zapasowych oraz konfiguracje monitorowania i alertowania kopii zapasowych."

Listy kontrolne audytu wewnętrznego

Opracuj plan audytu wewnętrznego

"Utwórz plan audytu wewnętrznego zgodności z ISO 27001:2022 obejmujący wszystkie punkty i odpowiednie kontrole Załącznika A. Uwzględnij: cele i zakres audytu, harmonogram audytu na 12 miesięcy (które kontrole/obszary w każdym kwartale), kryteria audytu (wymagania ISO 27001:2022), przydział audytorów zapewniający niezależność, metodologię audytu (wywiady, przegląd dokumentów, testy techniczne), szacowany czas na każdy obszar audytu oraz przegląd planu przez zarząd. Nadaj priorytet obszarom wysokiego ryzyka i kontrolom ze słabymi dowodami."

Wygeneruj checklistę audytu wewnętrznego

"Utwórz szczegółową checklistę audytu wewnętrznego dla [określonego obszaru, np. 'kontrola dostępu' lub 'zarządzanie incydentami']. Dla każdego odpowiedniego wymagania ISO 27001:2022: wymień konkretne wymaganie, utwórz pytania audytowe oceniające zgodność, zidentyfikuj dokumenty do przeglądu, określ dowody do zbadania, uwzględnij procedury testowania próbek (np. 'wybierz 10 kont użytkowników i zweryfikuj zatwierdzenie dostępu'), zdefiniuj kryteria zaliczenia/niezaliczenia oraz zapewnij miejsce na wnioski i obserwacje."

Przykład: "Utwórz szczegółową checklistę audytu wewnętrznego dla kontroli dostępu obejmującą kontrole ISO 27001:2022 A.5.15-A.5.18. Uwzględnij pytania dotyczące nadawania dostępu użytkownikom, przeglądów dostępu, MFA, dostępu uprzywilejowanego oraz dezaktywacji."

Dokumentuj wyniki audytu i działania korygujące

"Udokumentuj to znalezisko audytu wewnętrznego: [opisz znalezisko]. Utwórz raport niezgodności zawierający: opis znaleziska i dowody, które wymaganie ISO 27001 nie jest spełnione, wpływ i ryzyko niezgodności, klasyfikację ważności (poważna, drobna, obserwacja), analizę przyczyn źródłowych, proponowany plan działań korygujących ze szczegółowymi krokami, odpowiedzialnego za naprawę, docelową datę zakończenia oraz metodę weryfikacji. Sformatuj do prezentacji zarządowi i audytorom zewnętrznym."

Przeprowadź przygotowanie do audytu próbnego

"Zaprojektuj scenariusz audytu próbnego, aby przygotować nasz zespół do audytu certyfikacyjnego. Uwzględnij: harmonogram audytu próbnego (dzień 1: spotkanie otwierające, przegląd dokumentów, wywiady; dzień 2: weryfikacja techniczna, inspekcja miejsca, spotkanie zamykające), przykładowe pytania audytorów dla każdego głównego obszaru SZBI, dokumenty, które audytorzy będą chcieli przejrzeć, systemy, które będą chcieli zobaczyć, personel, z którym będą przeprowadzać wywiady (role i potrzebne przygotowanie) oraz kryteria oceny naszej gotowości na podstawie wyników audytu próbnego."

Listy kontrolne przygotowania do odpowiedzi na audyt

Przygotuj się na typowe pytania audytorów

"Wygeneruj listę typowych pytań, które audytorzy ISO 27001 zadają na temat [określonego obszaru, np. 'metodologii oceny ryzyka' lub 'reagowania na incydenty']. Dla każdego pytania podaj: pytanie, które zazwyczaj zadają audytorzy, co naprawdę oceniają (ukryte obawy), zalecaną strukturę odpowiedzi, dowody, na które należy się powołać w odpowiedzi, oraz sygnały ostrzegawcze, których należy unikać w odpowiedziach. Obejmij zarówno pytania dotyczące przeglądu zarządczego, jak i technicznej implementacji."

Utwórz przewodnik przygotowania do wywiadów z audytorami

"Utwórz przewodnik przygotowania do wywiadów dla personelu, który będzie uczestniczył w audycie ISO 27001. Dla ról, w tym [wymień role: CISO, menedżer IT, programiści, HR itp.], podaj: przegląd tego, o co audytorzy będą ich pytać, ich odpowiedzialności w SZBI, kontrolki, których są właścicielami lub operatorami, dowody, z którymi powinni się zapoznać, przykładowe pytania, które mogą otrzymać, co robić, a czego nie robić podczas wywiadów, proces eskalacji, jeśli nie znają odpowiedzi, oraz wskazówki dotyczące radzenia sobie ze stresem."

Opracuj prezentację na spotkanie otwierające

"Przygotuj prezentację na spotkanie otwierające audytu ISO 27001. Uwzględnij slajdy obejmujące: przegląd firmy i kontekst biznesowy, zakres i granice SZBI, strukturę organizacyjną i zarządzanie bezpieczeństwem, przegląd podejścia do oceny ryzyka i kluczowe ustalenia, najważniejsze osiągnięcia i wdrożenia kontroli, istotne zmiany od ostatniego audytu (jeśli dotyczy audytu nadzoru), logistykę audytu (harmonogram, uczestnicy, udogodnienia) oraz pytania/wyjaśnienia. Prezentacja powinna trwać około 20 minut."

Przygotuj strategię odpowiedzi na spotkanie zamykające

"Opracuj strategię odpowiedzi na spotkanie zamykające audytu, podczas którego zostaną przedstawione ustalenia. Uwzględnij: jak profesjonalnie przyjmować i dokumentować ustalenia, pytania do zadawania w celu wyjaśnienia ustaleń, jak kwestionować ustalenia, z którymi się nie zgadzamy (w sposób szanujący), proces wstępnego planowania działań korygujących, strategie negocjacji harmonogramu naprawy, oświadczenia o zaangażowaniu zarządu do przedstawienia, szablon planu działań poaudytowych oraz protokół komunikacji uzupełniającej z audytorami."

Listy kontrolne przygotowania dowodów technicznych

Przygotuj dowody konfiguracji systemu

"Utwórz pakiet dowodów technicznych demonstrujących bezpieczną konfigurację dla [nazwa systemu]. Uwzględnij: zastosowany standard utwardzania, zrzuty ekranu konfiguracji ustawień bezpieczeństwa (uwierzytelnianie, szyfrowanie, logowanie, kontrola dostępu), odchylenia od linii bazowej z uzasadnieniem, wyniki skanowania podatności pokazujące brak krytycznych/wysokich ustaleń, raport zgodności łatek, pokrycie monitoringu bezpieczeństwa oraz zapisy kontroli zmian dla zmian związanych z bezpieczeństwem."

Dokumentuj dowody logowania i monitorowania

"Zgromadź dowody logowania i monitorowania dla kontroli ISO 27001 A.8.15-A.8.16. Uwzględnij: inwentarz systemów z włączonym logowaniem, typy zbieranych logów (uwierzytelnianie, dostęp, zmiany, zdarzenia bezpieczeństwa), okresy przechowywania logów według typu, środki ochrony logów (integralność, kontrola dostępu), konfiguracje narzędzi SIEM lub analizy logów, procedury i częstotliwość przeglądu logów, próbki raportów z przeglądu logów, reguły alertowania o zdarzeniach bezpieczeństwa oraz przykłady dochodzeń incydentów z wykorzystaniem logów."

Przygotuj dowody zarządzania podatnościami

"Zgromadź dowody zarządzania podatnościami dla kontroli A.8.8. Uwzględnij: harmonogram i zakres skanowania podatności (które systemy, jak często), najnowsze wyniki skanowania podatności z podziałem na poziomy ważności, harmonogramy naprawy podatności krytycznych i wysokich, procedury zarządzania łatkami i SLA, dashboard lub raport zgodności łatek, wyjątki od podatności z kontrolami kompensacyjnymi, proces ujawniania podatności przez strony trzecie oraz trendy metryk podatności z ostatnich 6 miesięcy."

Dokumentuj wdrożenie szyfrowania

"Utwórz pakiet dowodów dla kontroli kryptograficznych A.8.24. Udokumentuj: szyfrowanie danych w spoczynku (które systemy, metody szyfrowania, zarządzanie kluczami), szyfrowanie danych w tranzycie (konfiguracje TLS, zestawy szyfrów, zarządzanie certyfikatami), szyfrowanie kopii zapasowych i archiwów, status szyfrowania urządzeń mobilnych i laptopów, procedury zarządzania kluczami szyfrowania, standardy algorytmów kryptograficznych, wyjątki od szyfrowania z akceptacją ryzyka oraz wyniki testów weryfikacji szyfrowania."

Listy kontrolne dowodów systemu zarządzania

Przygotuj dowody przeglądu zarządczego

"Zgromadź dowody na spotkania przeglądu zarządczego zgodnie z punktem 9.3 ISO 27001. Uwzględnij: protokoły ze spotkań przeglądu zarządczego z ostatnich 12 miesięcy, agendę obejmującą wszystkie wymagane dane wejściowe (wyniki audytów, zmiany ryzyka, incydenty, metryki wydajności, możliwości poprawy), raporty metryk i KPI bezpieczeństwa, decyzje i działania podjęte przez zarząd, decyzje dotyczące alokacji zasobów, ocenę efektywności SZBI, zatwierdzone strategiczne inicjatywy bezpieczeństwa oraz dowody zaangażowania i przywództwa zarządu."

Dokumentuj metryki wydajności SZBI

"Utwórz dashboard monitorowania wydajności efektywności SZBI zgodnie z punktem 9.1. Uwzględnij metryki dla: trendów incydentów bezpieczeństwa (liczba, ważność, czas rozwiązania), zarządzania podatnościami (częstotliwość skanowania, czas naprawy, zaległości), kontroli dostępu (czas nadawania dostępu, ukończenie przeglądów, naruszenia), świadomości bezpieczeństwa (ukończenie szkoleń, wyniki testów phishingowych), wskaźników sukcesu kopii zapasowych, wskaźników zgodności z politykami, wskaźników zamknięcia ustaleń audytowych oraz postępów w leczeniu ryzyka. Pokaż dane za ostatnie 12 miesięcy z analizą trendów."

Przygotuj dowody ciągłego doskonalenia

"Udokumentuj działania związane z ciągłym doskonaleniem zgodnie z punktem 10. Uwzględnij: działania korygujące z poprzednich audytów (ustalenia i rozwiązania), działania zapobiegawcze podjęte w celu rozwiązania potencjalnych problemów, wdrożone inicjatywy doskonalenia SZBI, wnioski wyciągnięte z incydentów bezpieczeństwa, zmiany w metodologii lub zakresie oceny ryzyka, aktualizacje polityk i procedur wraz z uzasadnieniem, opinie pracowników na temat efektywności SZBI oraz możliwości poprawy zidentyfikowane na kolejny okres."

Zgromadź dowody szkolenia i świadomości

"Zgromadź dowody świadomości bezpieczeństwa dla kontroli A.6.3. Uwzględnij: opis programu szkolenia z zakresu świadomości bezpieczeństwa, program i materiały szkoleniowe, zapisy i statystyki ukończenia szkoleń, proces wprowadzenia nowych pracowników w zakresie bezpieczeństwa, szkolenia oparte na rolach (użytkownicy uprzywilejowani, programiści, menedżerowie), wyniki symulacji phishingowych i trendy poprawy, komunikaty bezpieczeństwa wysyłane do pracowników, materiały kampanii zwiększania świadomości bezpieczeństwa, pomiar efektywności szkoleń oraz szkolenia uzupełniające dla personelu niezgodnego."

Listy kontrolne dowodów dotyczących dostawców i stron trzecich

Przygotuj dowody zarządzania dostawcami

"Zgromadź dowody zarządzania stronami trzecimi dla kontroli A.5.19-A.5.23. Uwzględnij: inwentarz dostawców i kategoryzację ryzyka, proces oceny bezpieczeństwa dostawców i kwestionariusz, wymagania bezpieczeństwa w umowach z dostawcami (próbki umów), dowody due diligence dostawców (raporty SOC 2, certyfikaty ISO, oceny), kontrolę dostępu i monitorowanie dostawców, przeglądy wydajności dostawców i weryfikację zgodności, procedury reagowania na incydenty u dostawców oraz checklistę wygaszania współpracy z dostawcami."

Dokumentuj wymagania bezpieczeństwa dla dostawców

"Utwórz szablon pokazujący, jak włączamy wymagania dotyczące bezpieczeństwa informacji do umów z dostawcami zgodnie z kontrolą A.5.20. Uwzględnij: standardowe klauzule bezpieczeństwa (ochrona danych, kontrola dostępu, powiadamianie o incydentach, prawo do audytu, zgodność, poufność), umowy dotyczące poziomu usług dla bezpieczeństwa (czasy reakcji, dostępność, terminy powiadamiania o naruszeniach), warunki umowy o przetwarzaniu danych (zgodność z RODO), wymagania dotyczące zatwierdzania podwykonawców, postanowienia dotyczące zakończenia współpracy i zwrotu danych oraz odpowiedzialność i odszkodowania za niepowodzenia w zakresie bezpieczeństwa."

Specjalistyczne scenariusze audytowe

Przygotuj się na audyt zdalny/chmurowy

"Przygotuj się do audytu ISO 27001 naszej infrastruktury opartej na chmurze w [dostawca chmury]. Uwzględnij: jak wykazać kontrole bezpieczeństwa chmury (model odpowiedzialności dzielonej), dowody od dostawcy chmury (SOC 2, ISO 27001, dokumentacja funkcji bezpieczeństwa), naszą konfigurację i zarządzanie bezpieczeństwem chmury (IAM, szyfrowanie, logowanie, monitorowanie), wykazanie lokalizacji i suwerenności danych, kontrolę dostępu do chmury i zarządzanie dostępem uprzywilejowanym, reagowanie na incydenty specyficzne dla chmury, kopie zapasowe i odzyskiwanie po awarii w chmurze oraz udostępnianie ekranu lub zdalny dostęp do przeglądu konsol chmurowych przez audytorów."

Przygotuj się na audyt środowiska pracy zdalnej

"Przygotuj dowody na audyt ISO 27001 uwzględniający naszą [procentową] zdalną siłę roboczą. Uwzględnij: bezpieczeństwo zdalnego dostępu (VPN, zero trust, MFA), ochronę punktów końcowych dla urządzeń zdalnych (EDR, szyfrowanie, zarządzanie łatkami), bezpieczne narzędzia współpracy i udostępniania danych, wskazówki dotyczące bezpieczeństwa sieci domowych, bezpieczeństwo fizyczne zdalnych miejsc pracy, szkolenia i świadomość pracowników zdalnych, monitorowanie zdalnego dostępu i działań, reagowanie na incydenty dla pracowników zdalnych oraz zaopatrzenie i wycofywanie sprzętu dla zdalnego personelu."

Przygotuj się na certyfikację wielooddziałową

"Przygotuj się do audytu ISO 27001 obejmującego wiele lokalizacji: [wymień lokalizacje]. Uwzględnij: jak zakres SZBI obejmuje wszystkie lokalizacje, specyficzne dla lokalizacji ryzyka i kontrole, spójne wdrożenie polityk w różnych lokalizacjach, rozważania dotyczące zgodności z lokalnymi przepisami, scentralizowane vs. lokalne obowiązki zarządcze, dowody z każdej lokalizacji, logistykę audytu zdalnych lokalizacji, komunikację i koordynację między lokalizacjami oraz wykazanie integracji SZBI w całej organizacji."

Listy kontrolne poaudytowe

Opracuj plan działań korygujących

"Utwórz plan działań korygujących dla ustaleń audytu. Dla ustalenia: [opisz ustalenie], uwzględnij: szczegóły ustalenia i odniesienie do niezgodności, analizę przyczyn źródłowych (dlaczego ta luka istniała?), natychmiastowe działanie korygujące (naprawa konkretnego problemu), systematyczne działanie korygujące (zapobieganie nawrotom), kroki wdrożenia z harmonogramem, odpowiedzialnego właściciela i wymagane zasoby, metodę weryfikacji (jak udowodnimy, że problem został rozwiązany?), docelową datę zakończenia, śledzenie statusu oraz dowody do przedłożenia audytorom w celu zamknięcia."

Przygotuj dowody zamknięcia ustaleń

"Przygotuj pakiet dowodów do zamknięcia ustalenia audytu [numer ustalenia]. Uwzględnij: oryginalny opis ustalenia i wymaganie, zatwierdzony plan działań korygujących, dowody wdrożenia działań korygujących (porównanie przed/po, zaktualizowane dokumenty, zmiany w systemie), wyniki testów weryfikacyjnych pokazujące rozwiązanie problemu, środki zapobiegawcze wdrożone w celu uniknięcia nawrotu, komunikację zmian do odpowiedniego personelu oraz wniosek o weryfikację przez audytora i zamknięcie ustalenia."

Przeprowadź lekcje wyciągnięte po audycie

"Przeprowadź sesję podsumowującą lekcje wyciągnięte po audycie. Utwórz przewodnik dyskusji obejmujący: co poszło dobrze podczas audytu, jakie wyzwania napotkaliśmy, jak skuteczne było nasze przygotowanie, które dowody były mocne, a które słabe, jak dobrze zespół poradził sobie z pytaniami audytorów, niespodzianki lub nieoczekiwane ustalenia, opinie audytorów na temat naszego SZBI, usprawnienia na kolejny cykl audytu, zidentyfikowane luki w umiejętnościach lub wiedzy oraz działania do wzmocnienia SZBI przed kolejnym audytem nadzoru."

Listy kontrolne samooceny gotowości audytowej

Przeprowadź końcową kontrolę gotowości przed audytem

"Przeprowadź końcową kontrolę gotowości na 2 tygodnie przed audytem certyfikacyjnym ISO 27001. Oceń: Czy cała wymagana dokumentacja jest kompletna i zatwierdzona? Czy dowody są uporządkowane i dostępne? Czy audyty wewnętrzne zostały zakończone, a ustalenia zamknięte? Czy personel jest przeszkolony i przygotowany do wywiadów? Czy systemy techniczne są poprawnie skonfigurowane do demonstracji? Czy obiekty są gotowe do inspekcji? Czy harmonogram audytu jest potwierdzony z uczestnikami? Czy istnieją plany awaryjne na tydzień audytu? Oceń gotowość jako Czerwony/Żółty/Zielony z uzasadnieniem i zidentyfikuj wszelkie działania last-minute."

Oceń przygotowanie do audytu według roli

"Oceń przygotowanie do audytu dla każdej roli uczestniczącej w audycie. Dla ról [wymień role: zarząd, zespół IT, zespół ds. bezpieczeństwa, HR, operacje itp.]: oceń ich zrozumienie SZBI, znajomość ich obowiązków, znajomość odpowiednich kontroli, dostępność podczas audytu, gotowość do odpowiadania na pytania, dostęp do niezbędnych dowodów, zabezpieczenie zastępcze w przypadku niedostępności oraz potrzeby szkoleniowe przed audytem. Zidentyfikuj wszelkie luki wymagające natychmiastowej uwagi."

Przejrzyj logistykę i koordynację audytu

"Utwórz plan logistyczny i checklistę na tydzień audytu. Uwzględnij: harmonogram audytu z godzinami i uczestnikami, rezerwacje sal konferencyjnych i ich przygotowanie (rzutnik, tablica, gościnne WiFi), ustalenia dotyczące lunchu i przerw, parking i dostęp do budynku dla audytorów, pakiet powitalny i materiały orientacyjne, dostęp do repozytorium dokumentów dla audytorów, dostęp do systemów technicznych lub środowisk demonstracyjnych, udogodnienia do drukowania i kopiowania, prywatną przestrzeń do deliberacji audytorów, kontakt do wsparcia IT w przypadku problemów technicznych oraz plany awaryjne na typowe zakłócenia."

Wskazówki dotyczące efektywnego wykorzystania tych list kontrolnych

Powiązane biblioteki list kontrolnych

Uzupełnij wdrożenie ISO 27001 za pomocą tych powiązanych kolekcji list kontrolnych:

• [Listy kontrolne oceny ryzyka ISO 27001](/ISO 27001 prompt library)
• [Listy kontrolne polityk i procedur ISO 27001](/ISO 27001 prompt library)
• [Listy kontrolne analizy luk ISO 27001](/ISO 27001 prompt library) (wkrótce)
• [Biblioteka list kontrolnych SOC 2](/SOC 2 prompt library)

Uzyskanie pomocy

Wsparcie w przygotowaniu do audytu:

• Poznaj proces audytu: Przejrzyj Jak przygotować się do wewnętrznych audytów ISO 27001 przy użyciu AI
• Przygotuj się do certyfikacji: Zobacz Jak przygotować się do audytu certyfikacyjnego ISO 27001 przy użyciu AI
• Używaj AI odpowiedzialnie: Przeczytaj Jak odpowiedzialnie korzystać z ISMS Copilot w przygotowaniu do audytu