Przygotowanie do audytu ISO 27001 wymaga uporządkowania infrastruktury IT i procedur bezpieczeństwa informacji zgodnie z wymaganiami normy.

Na czym polega ta usługa

Usługa obejmuje przegląd infrastruktury IT pod kątem wymagań normy ISO 27001 oraz wskazanie obszarów wymagających uzupełnienia przed audytem.

Dla kogo ma sens

Usługa jest przydatna dla firm przygotowujących się do certyfikacji ISO 27001.

Ile to trwa

Przygotowanie do audytu mieści się z reguły w standardowym czasie do 3 dni, w zależności od zakresu.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Kluczowe obszary techniczne weryfikowane przed audytem ISO 27001

Norma ISO/IEC 27001 (międzynarodowy standard określający wymagania dla Systemu Zarządzania Bezpieczeństwem Informacji) kładzie duży nacisk na techniczną kontrolę zabezpieczeń teleinformatycznych. W ramach przygotowania infrastruktury weryfikowane są kluczowe filary środowiska IT, które bezpośrednio podlegają ocenie audytorów:

Kontrola dostępu i tożsamości (Access Control): Sprawdzana jest konfiguracja usług katalogowych Active Directory (usługa katalogowa w środowisku Windows Server służąca do centralnego zarządzania kontami i uprawnieniami) oraz platform chmurowych Microsoft 365 i Google Workspace. Weryfikacja obejmuje wdrożenie zasady minimalnych uprawnień (Principle of Least Privilege, czyli przydzielanie użytkownikowi wyłącznie takich dostępów, jakie są niezbędne do wykonywania jego obowiązków) oraz wymuszenie uwierzytelniania wieloskładnikowego MFA (Multi-Factor Authentication, czyli logowania wymagającego dodatkowego potwierdzenia tożsamości, na przykład kodem z aplikacji mobilnej).
Ochrona stacji roboczych i serwerów: Kontrolowany jest stan oprogramowania antywirusowego oraz systemów EDR (Endpoint Detection and Response, czyli narzędzi do monitorowania i wykrywania podejrzanych zachowań na urządzeniach końcowych). Sprawdzane jest regularne instalowanie poprawek bezpieczeństwa w ramach procesu Patch Management (zarządzania aktualizacjami usuwającymi luki w systemach operacyjnych Windows i Linux).
Szyfrowanie danych w spoczynku (Encryption at Rest): Weryfikowane jest wdrożenie mechanizmów szyfrowania dysków twardych, takich jak BitLocker (wbudowane narzędzie szyfrujące wolumeny dyskowe w systemie Windows) oraz LUKS (Linux Unified Key Setup, standard szyfrowania partycji w środowiskach Linux). Szyfrowanie jest kluczowe zwłaszcza dla laptopów przenośnych, które są narażone na zagubienie lub kradzież poza biurem.
Bezpieczeństwo i segmentacja sieci (Network Security): Ocenie podlega konfiguracja zapór sieciowych Firewall (urządzeń filtrujących ruch sieciowy na podstawie zdefiniowanych reguł) oraz podział sieci na podsieci VLAN (Virtual Local Area Network, czyli wirtualne sieci lokalne izolujące ruch biurowy od serwerów bazodanowych, urządzeń IoT czy sieci dla gości). Sprawdzane jest również bezpieczne łączenie zdalne za pomocą tuneli VPN (Virtual Private Network, czyli szyfrowanych połączeń przez sieć publiczną) wykorzystujących bezpieczne protokoły IPsec lub OpenVPN.
Zarządzanie kopiami zapasowymi (Backup & Disaster Recovery): Weryfikowana jest poprawność wykonywania kopii zapasowych baz danych systemów ERP (zintegrowanych programów do zarządzania przedsiębiorstwem, takich jak Comarch ERP Optima, InsERT Subiekt GT/nexo, Symfonia czy WAPRO ERP) oraz serwerów plików i maszyn wirtualnych. Sprawdzeniu podlega stosowanie reguły 3-2-1 (przechowywanie co najmniej trzech kopii danych na dwóch różnych nośnikach, z czego jedna w odrębnej lokalizacji) oraz technologia niezmienności danych WORM (Write Once Read Many, mechanizm uniemożliwiający usunięcie lub zaszyfrowanie kopii przez oprogramowanie ransomware).
Rejestrowanie zdarzeń i audytowalność (System Logging): Sprawdzane jest, czy serwery, routery i urządzenia sieciowe rejestrują zdarzenia systemowe w bezpieczny sposób oraz czy logi te są chronione przed modyfikacją lub nieautoryzowanym usunięciem.

Najczęstsze luki techniczne wykrywane w firmach przed audytem

Podczas przeglądów infrastruktury teleinformatycznej w firmach przygotowujących się do certyfikacji ISO 27001 regularnie ujawniane są rozbieżności pomiędzy deklarowanymi procedurami a faktyczną konfiguracją sprzętu i systemów operacyjnych. Do najczęściej spotykanych niezgodności technicznych należą:

Praca codzienna na kontach z uprawnieniami administratora: Użytkownicy stacji roboczych wykonujący standardowe zadania biurowe lub przeglądający Internet często posiadają pełne prawa administracyjne do lokalnego systemu operacyjnego, co stwarza bezpośrednie ryzyko infekcji złośliwym oprogramowaniem.
Konta osierocone (Orphaned Accounts): W systemach pocztowych, domenach Active Directory oraz bazach programów ERP nadal istnieją aktywne konta byłych pracowników lub współpracowników, których dostępy nie zostały zablokowane po zakończeniu współpracy.
Brak testów przywracania danych z kopii zapasowej: Firma regularnie wykonuje backupy na pamięć sieciową NAS (Network Attached Storage, dysk sieciowy podłączony bezpośrednio do sieci lokalnej), lecz nigdy nie przeprowadziła próbnego odtworzenia baz danych na odrębnym serwerze testowym w celu potwierdzenia integralności plików.
Nieszyfrowane dyski w laptopach służbowych: Komputery przenośne używane przez pracowników w podróżach służbowych lub podczas pracy zdalnej nie posiadają aktywnego szyfrowania nośników BitLocker, co w razie utraty sprzętu skutkuje bezpośrednim wyciekiem danych firmowych.
Brak izolacji sieci dla gości oraz urządzeń peryferyjnych: Goście firmy, drukarki sieciowe oraz prywatne telefony pracowników logują się do tej samej podsieci, w której pracują serwery baz danych Microsoft SQL Server oraz zasoby współdzielone z poufną dokumentacją.
Brak centralnego zarządzania hasłami: Użytkownicy stosują proste hasła wielokrotnie powtarzane w różnych serwisach lub przechowują dane uwierzytelniające w niezaszyfrowanych plikach tekstowych na pulpicie komputera.

Etapy technicznego przeglądu infrastruktury IT pod kątem ISO 27001

Profesjonalne przygotowanie środowiska teleinformatycznego realizowane jest w uporządkowanym, kilkuetapowym procesie, który pozwala zidentyfikować podatności i skutecznie je wyeliminować przed przybyciem audytora jednostki certyfikującej:

Krok 1: Szczegółowa inwentaryzacja zasobów sprzętowych i programowych
Przeprowadzana jest pełna ewidencja wszystkich urządzeń wchodzących w skład infrastruktury IT: stacji roboczych, laptopów, serwerów fizycznych, maszyn wirtualnych, dysków sieciowych NAS, przełączników sieciowych (Switch) oraz routerów brzegowych. Identyfikowane są zainstalowane systemy operacyjne, licencje oraz aplikacje biznesowe.

Krok 2: Analiza konfiguracji i wzmacnianie systemów (Hardening)
Weryfikowane są ustawienia systemów operacyjnych Windows i Linux pod kątem dobrych praktyk bezpieczeństwa. Wdrażane są polityki GPO (Group Policy Objects, czyli obiekty zasad grupy umożliwiające centralne egzekwowanie reguł bezpieczeństwa w domenie), które blokują niebezpieczne protokoły, wyłączają niepotrzebne usługi systemowe oraz wymuszają blokowanie ekranu po zdefiniowanym czasie bezczynności.

Krok 3: Przegląd uprawnień i segmentacji sieciowej
Sprawdzana jest struktura uprawnień do folderów sieciowych, baz danych SQL oraz systemów księgowo-magazynowych. Na urządzeniach sieciowych konfigurowane są odrębne podsieci VLAN w celu odseparowania ruchu krytycznego od urządzeń o mniejszym poziomie zaufania. Sprawdzane są reguły na zaporach sieciowych Firewall w celu zablokowania nieużywanych portów komunikacyjnych.

Krok 4: Weryfikacja i testy procedur Disaster Recovery
Przeprowadzany jest kontrolowany test procedury odzyskiwania danych po awarii. Kopia zapasowa bazy danych ERP oraz krytycznych plików jest odtwarzana w odizolowanym środowisku testowym w celu zmierzenia wskaźników RTO (Recovery Time Objective, czyli maksymalnego dopuszczalnego czasu przestoju systemu) oraz RPO (Recovery Point Objective, czyli maksymalnego dopuszczalnego okresu, z którego dane mogą zostać utracone w wyniku awarii).

Krok 5: Przygotowanie raportu z analizy luk (Gap Analysis) i planu wdrożenia
Zestawienie wykrytych niezgodności technicznych wraz z rekomendacjami konkretnych zmian konfiguracyjnych i sprzętowych. Raport stanowi gotowy materiał do wdrożenia działań naprawczych oraz dowód weryfikacji infrastruktury podczas właściwego audytu certyfikującego.

Błędy popełniane przez firmy podczas samodzielnych przygotowań IT

Samodzielne dostosowywanie środowiska informatycznego do wymagań normy ISO 27001 bez odpowiedniego doświadczenia technicznego często prowadzi do błędów, które mogą skutkować zaleceniami pokontrolnymi lub odmową wydania certyfikatu:

Jednym z najczęstszych problemów jest traktowanie bezpieczeństwa wyłącznie jako tworzenia dokumentów formalnych i procedur papierowych. Audytorzy techniczni weryfikują realny stan systemów, prosząc o zaprezentowanie na żywo polityk bezpieczeństwa w konsoli Active Directory, reguł na firewallu czy logów z wykonania kopii zapasowych. Rozbieżność między zapisaną procedurą a konfiguracją serwera stanowi poważną niezgodność.

Kolejnym błędem jest wprowadzanie nadmiernych, nieskonsultowanych z użytkownikami restrykcji, które paraliżują codzienną pracę biurową. Wprowadzenie zbyt częstej zmiany skomplikowanych haseł bez wdrożenia bezpiecznego menedżera haseł prowadzi do powszechnego zjawiska zapisywania haseł na karteczkach przyklejanych do monitorów.

Często pomijanym elementem jest również brak procedur bezpiecznego wycofywania i utylizacji nośników danych (Data Sanitization, czyli trwałego niszczenia informacji z dysków twardych i nośników SSD przed ich sprzedażą, zwrotem leasingodawcy lub utylizacją). Zwykłe sformatowanie partycji w systemie operacyjnym nie usuwa danych w sposób uniemożliwiający ich odzyskanie, co stanowi naruszenie zasad poufności normy.

Błędem jest także stosowanie w sieci firmowej prostych, niezarządzalnych przełączników sieciowych (Unmanaged Switches), które uniemożliwiają wydzielenie wirtualnych sieci VLAN i monitorowanie ruchu pomiędzy poszczególnymi segmentami infrastruktury.

Kiedy wymagane jest wdrożenie ISO 27001, a kiedy wystarczy standardowy przegląd bezpieczeństwa

Pełne wdrożenie i formalna certyfikacja normy ISO 27001 są zazwyczaj niezbędne dla przedsiębiorstw, które biorą udział w przetargach publicznych, współpracują z międzynarodowymi korporacjami, instytucjami finansowymi, branżą medyczną lub świadczą usługi przetwarzania danych w chmurze (SaaS, IaaS). W takich przypadkach posiadanie certyfikatu wydanego przez akredytowaną jednostkę certyfikującą stanowi formalny warunek zawarcia umowy handlowej.

W przypadku mniejszych firm, które nie podlegają bezpośrednim wymogom kontraktowym, często wystarczający jest profesjonalny przegląd środowiska IT oraz wdrożenie technicznych dobrych praktyk wynikających z normy ISO 27001 bez konieczności przechodzenia kosztownego procesu formalnej certyfikacji. Pozwala to na skuteczne zabezpieczenie danych firmowych, spełnienie wymagań prawnych dotyczących ochrony danych osobowych (RODO) oraz zabezpieczenie ciągłości działania przedsiębiorstwa przed atakami ransomware i awariami sprzętowymi.

Często zadawane pytania dotyczące technicznego przygotowania do ISO 27001 (FAQ)

Czy do audytu ISO 27001 wymagana jest wymiana wszystkich komputerów i serwerów na nowe?

Nie, norma ISO 27001 nie nakazuje zakupu fabrycznie nowego sprzętu. Wymagane jest natomiast, aby wszystkie urządzenia były sprawne technicznie, posiadały wspierane przez producenta systemy operacyjne otrzymujące aktualizacje bezpieczeństwa oraz spełniały wymogi w zakresie szyfrowania dysków i kontroli dostępu. Starsze serwery i komputery mogą z powodzeniem przejść audyt pod warunkiem ich prawidłowego skonfigurowania i zabezpieczenia.

W jaki sposób weryfikowane jest bezpieczeństwo baz danych programów ERP i księgowych?

Weryfikacja obejmuje kontrolę uprawnień dostępu do serwera bazodanowego Microsoft SQL Server lub PostgreSQL (otwartoźródłowy system zarządzania relacyjnymi bazami danych), sprawdzenie szyfrowania połączeń sieciowych, analizę kont serwisowych oraz ocenę harmonogramu i integralności tworzonych kopii zapasowych. Sprawdzane jest również, czy dostęp do baz danych programów Comarch Optima, Subiekt GT/nexo, Symfonia lub WAPRO ERP posiadają wyłącznie uprawnieni użytkownicy.

Czy audytor techniczny sprawdza laptopy używane przez pracowników w trybie pracy zdalnej?

Tak, komputery przenośne wykorzystywane do pracy zdalnej podlegają szczegółowej kontroli. Audytor weryfikuje, czy nośniki danych są w pełni zaszyfrowane za pomocą modułu BitLocker lub LUKS, czy stacje robocze łączą się z siecią firmową wyłącznie za pośrednictwem szyfrowanych tuneli VPN, oraz czy na urządzeniach zainstalowane jest centralnie zarządzane oprogramowanie antywirusowe i zapora sieciowa.

Jak prawidłowo przygotować procedury tworzenia kopii zapasowych pod kątem normy?

Wymagane jest posiadanie w pełni zautomatyzowanego systemu backupu, który tworzy kopie w harmonogramie dostosowanym do dynamiki zmian danych w firmie. Kopie muszą być przechowywane w bezpiecznej lokalizacji odseparowanej logicznie lub fizycznie od infrastruktury produkcyjnej. Kluczowym wymogiem jest prowadzenie rejestru regularnych, próbnych odtworzeń danych potwierdzających, że w razie awarii możliwe jest bezbłędne przywrócenie pracy systemów.

Czy w trakcie technicznego przeglądu infrastruktury podpisywana jest umowa o zachowaniu poufności?

Tak, przed przystąpieniem do jakichkolwiek prac audytowych lub wglądu w konfigurację sieci i serwerów podpisywana jest bezpłatna umowa o zachowaniu poufności NDA (Non-Disclosure Agreement, umowa prawna zobowiązująca do zachowania w tajemnicy wszelkich informacji technicznych i biznesowych przedsiębiorstwa). Wszystkie prace wykonywane są w modelu bezpośredniego dojazdu do siedziby firmy klienta na terenie Warszawy oraz 7 okolicznych powiatów w promieniu do 40 km.

Rzetelna weryfikacja techniczna jako fundament udanej certyfikacji ISO 27001

Prawidłowe przygotowanie infrastruktury informatycznej do audytu ISO 27001 eliminuje ryzyko wykrycia krytycznych niezgodności technicznych podczas wizyty audytora certyfikującego. Uporządkowanie uprawnień w domenie, wdrożenie szyfrowania nośników, zabezpieczenie sieci za pomocą firewalli i segmentacji VLAN oraz przetestowanie procedur odzyskiwania danych po awarii zapewniają stabilność operacyjną przedsiębiorstwa i pełną zgodność z międzynarodowymi standardami bezpieczeństwa informacji. Bezpłatny przegląd środowiska IT dla firm oraz wstępna diagnoza pozwalają na precyzyjne określenie zakresu niezbędnych prac konfiguracyjnych przed przystąpieniem do formalnego audytu.

22 378 48 09

Przygotowanie firmy do audytu ISO 27001