ISO/IEC 27001 auditfelkészítés, tanácsadás, támogatás

Az ISO/IEC 27001 ma az egyik legerősebb nemzetközi referencia az információbiztonsági irányítás területén. Nem technikai checklist, hanem egy kockázatalapú irányítási rendszer, amely bizonyíthatóvá teszi, hogy a szervezet strukturáltan, vezetői szinten kontrollálja az információs kockázatokat. A tanúsítvány jóval több egy marketingeszköznél: a beszállítói láncokba való bekerülésnek, a nemzetközi tendereknek és a szabályozott szektorokban való működésnek ma már gyakran alapfeltétele.

A Makay Kiberbiztonsági Kft. ISO/IEC 27001 auditfelkészítési szolgáltatása arra épül, hogy a szabványt ne adminisztratív teherként, hanem működési keretrendszerként implementáljuk. Célunk nem egy „papíralapú megfelelés”, hanem egy auditbiztos, bizonyíték-alapú ISMS (Information Security Management System) kialakítása, amely a valós kockázatkezelést támogatja és vezetői döntéseket alapoz meg.

A szabvány valódi fókusza: irányítás és bizonyíthatóság

Az ISO/IEC 27001 középpontjában az irányítás áll. A szabvány Clause 4–10 fejezetei lefedik az érdekelt felek azonosítását, az üzleti környezet elemzését, a kockázatkezelési módszertan meghatározását, valamint a kontrollok működésének igazolását. Az auditor nem elsősorban technológiát vizsgál, hanem következetességet, dokumentált döntéseket, vezetői bevonást és folyamatos fejlesztést.

A gyakorlatban a legnagyobb kihívás nem a szabályzatok elkészítése, hanem azok működtetése. Sok szervezet rendelkezik információbiztonsági politikával, de nem tudja bizonyítani, hogy a kockázatértékelés valóban befolyásolja az erőforrás-elosztást, hogy a beszállítói kockázatok rendszeresen felülvizsgálatra kerülnek, vagy azt, hogy az incidenskezelés során szerzett tapasztalatok beépülnek-e a jövőbeli folyamatokba. Az ISO/IEC 27001 auditfelkészítés lényege ennek a strukturált működésnek a kialakítása.

Nem technikai lista, hanem működési struktúra

A 2022-es verzió 93 kontrollt határoz meg, amelyek szervezeti, humán, fizikai és technológiai területeket fednek le. Ezek között szerepel a hozzáférés-kezelés, a kriptográfiai kontrollok, a naplózás és monitorozás, a sérülékenységkezelés, az üzletmenet-folytonosság, valamint a beszállítói biztonság.

• Szervezeti kontrollok: Irányelvek és felelősségi körök.
• Humán kontrollok: HR folyamatok, beléptetés és képzés.
• Fizikai kontrollok: Telephelyvédelem és eszközbiztonság.
• Technológiai kontrollok: Hozzáférés-kezelés, kriptográfia, naplózás és sérülékenységmenedzsment.

A kihívás itt az integráció. A kontrollok nem különálló elemek, hanem a napi működés részei kell, hogy legyenek. Egy jól működő ISMS esetén a hozzáférés-kezelési folyamat összehangolt a HR onboarding/offboarding folyamattal, a naplózás támogatja a valós incidenskezelést, a sérülékenységvizsgálatok pedig beépülnek a kockázatkezelési ciklusba.

Módszertanunk a strukturált megközelítést ötvözi a szervezet egyedi igényeire szabott megoldásokkal. Az első lépés egy részletes gap analysis, amely kontrollszinten tárja fel az eltéréseket a jelenlegi működés és a szabvány követelményei között. Ezt követően kialakítjuk vagy finomítjuk a kockázatértékelési keretrendszert, amely objektív alapot teremt a kontrollok kiválasztásához és priorizálásához.

A dokumentációs struktúra felépítése során nem sablonokat adunk át, hanem auditlogikára optimalizált rendszert hozunk létre. A cél az, hogy a belső audit, a vezetőségi átvizsgálás és a tanúsító audit során minden kontroll mögött rendelkezésre álljon a szükséges bizonyíték. A felkészítés része a szimulált „mock audit”, ahol auditor-szemlélettel vizsgáljuk meg a rendszer működését. Ez jelentősen csökkenti a tanúsító audit során fellépő eltérések kockázatát.

Felkészítési folyamatunk lépései:

Felkészítési folyamatunk lépései:

1. Gap analysis (Hiányelemzés): A jelenlegi működés és a szabvány közötti eltérések feltárása.
2. Kockázatértékelési keretrendszer: Objektív alap a kontrollok priorizálásához.
3. Auditlogikára optimalizált dokumentáció: Nem sablonokat adunk, hanem bizonyíték-alapú rendszert építünk.
4. Belső audit és „Mock audit”: A rendszer éles tesztelése auditor-szemlélettel a tanúsítás előtt.

IT biztonsági tanácsadás, audit-felkészítés

Szakértőink lépésről lépésre végigvezetik partnereinket a teljes megfelelési folyamaton: a kezdeti gap-analízistől és a kontrollkörnyezet kialakításától kezdve egészen a hivatalos audit előkészítéséig. A szolgáltatás során nem csupán a technikai és adminisztratív kontrollokat fejlesztjük, hanem kiemelt figyelmet fordítunk a dokumentáció, a biztonságtudatosság és a kockázatkezelési gyakorlatok megerősítésére is.

A felkészítés során ügyfeleink igényeihez igazítjuk a vizsgált bizalmi kritériumokat (pl. biztonság, rendelkezésre állás, adatvédelem), és segítünk a megfelelő audit típus kiválasztásában. Célunk, hogy ne csak az audit sikerüljön, hanem a bevezetett intézkedések hosszú távon is megbízhatóan szolgálják az információbiztonsági és üzleti célokat.

Sérülékenységvizsgálat és penetrációs teszt

A Makay Kiberbiztonsági Kft. az ISO/IEC 27001 közvetlen és közvetett követelményeinek megfelelően átfogó sérülékenységvizsgálat szolgáltatást nyújt informatikai rendszereikre. A vizsgálat során azonosítjuk azokat a technikai gyengeségeket, amelyek kockázatot jelentenek az üzletmenetre, az adatok sértetlenségére vagy bizalmas jellegére. A vizsgálat magában foglalja a hálózati infrastruktúra, webalkalmazások, végponti eszközök és belső szolgáltatások ellenőrzését, modern automatizált eszközök és manuális technikák kombinálásával.

Az eredményekről részletes, magyar/angol/német nyelvű szakmai jelentést készítünk, amely tartalmazza a beazonosított sérülékenységeket, azok súlyosságát, valamint konkrét javaslatokkal is szolgál azok javítására.

Biztonságtudatossági oktatás

Az ISO/IEC 27001 hangsúlyozza az emberi tényező szerepét a kiberbiztonságban, ezért kiemelten fontos a munkatársak felkészítése. Cégünk testre szabott biztonságtudatossági oktatásokat kínál, amelyek célja, hogy a dolgozók felismerjék a leggyakoribb támadási formákat – például adathalászat, rosszindulatú mellékletek, social engineering – és megtanulják a megfelelő válaszreakciókat. Az oktatások során gyakorlati példákon keresztül mutatjuk be a tipikus kockázatokat, emellett interaktív elemekkel (például szimulált támadásokkal) is segítjük a fejlődést.

Technológiák beszerzése és üzemeltetése

A Makay Kiberbiztonsági Kft. nemcsak az ISO/IEC 27001 követelményeinek maradéktalan teljesítésének felkészítésében segít, hanem azon védelmi technológiák (antivírusok, tűzfalak, biztonsági mentő megoldások, naplógyűjtés, sérülékenységvizsgálók stb.) beszerzésében, beüzemelésében és üzemeltetésében is, amik elengedhetetlenek ahhoz, hogy az Önök által kezelt adatok a legnagyobb biztonságban legyenek, szükség esetén pedig folyamatos szakértői felügyeletet élvezzenek.