Audyt bezpieczeństwa IT

Jest to pierwsza międzynarodowa norma określająca ramy dla identyfikacji kluczowych czynników ryzyka w sytuacjach kryzysowych. Norma ISO 22301 to pełny zbiór wymagań dotyczących projektowania, wdrożenia i utrzymania ciągłości działania. Celem wdrożenia systemu opartego na jej wymaganiach jest uodpornienie oraz przygotowanie organizacji na sytuacje kryzysowe oraz awaryjne o nagłym i nieprzewidzianym przebiegu. Wymagania normy zawierają dobre praktyki w zakresie zapewnienia ciągłości działania. Norma ISO 22301 szczególną uwagę zwraca na Business Contuinity Planning oraz Disaster Recovery Planning. Business Contuinity Planning (BCP) to zbiór zasad, procedur, instrukcji i działań, których zadaniem jest zapewnienie właściwego funkcjonowania organizacji w trakcie sytuacji awaryjnej i krótko po niej. Disaster Recovery Planning (DRP) wskazuje na plany związane z przywracaniem krytycznych obszarów działalności, usług lub zasobów.

Norma ISO 31000 Zarządzanie ryzykiem – zasady i wytyczne określa w jak systematycznie oraz w sposób ustrukturyzowany zarządzać ryzykiem. Jej forma pozwala na wykorzystanie jej niezależnie od tego jakiego obszaru zarządzania dotyczy. Standard nie stanowi podstawy do certyfikacji. Zawiera zasady, wytyczne oraz dobre praktyki w zakresie wdrażania, utrzymywania, doskonalenia i zasad stosowanych w celu zapewnienia odpowiedniego poziomu skuteczności procesu zarządzania ryzykiem. Reguluje etapy cyklu życia procesu zarządzania ryzykiem.

Krajowe Ramy Interoperacyjności to rozporządzenie Rady Ministrów, które precyzyjnie określa wymagania dotyczące rejestrów i systemów teleinformatycznych. Zarządzanie nimi musi uwzględniać ich funkcjonalność oraz niezawodność przy zastosowaniu norm oraz uznanych w obrocie profesjonalnym standardów i metodyk. Ma charakter normy technicznej - wyraźnie i jednoznacznie określa warunki, jakie powinny być zapewniane przez podmioty realizujące swoje zadania z wykorzystaniem elektronicznych środków komunikacji oraz narzędzi elektronicznych.

Ustawa o Krajowym Systemie Cyberbezpieczeństwa jest to pierwszy w Polsce akt prawny który kompleksowo i z nastawieniem na skuteczność traktuje obszar bezpieczeństwa usług kluczowych w celu osiągnięcia odpowiedniego poziomu bezpieczeństwa systemów informacyjnych służących do świadczenia usług oraz zapewnienia obsługi incydentów. W Cyberustawie znalazły się zapisy dotyczące podziału podmiotów gospodarczych. W klasyfikacji uwzględniono instytucje administracji rządowej i samorządowej oraz największych przedsiębiorców z kluczowych sektorów gospodarki.Podmioty sklasyfikowane w danej grupie mają obowiązek spełnić regulacje z zakresu cyberbezpieczeństwa.

ANSI/TIA-942 to standard zawierający wymagania dotyczące centrów danych, ich jakości oraz infrastruktury. Dzieli centra danych na cztery główne poziomy - Tier I, II, III, oraz IV. Pozwala na klasyfikację ich jakości od bezpieczeństwa fizycznego po ciągłość działania oraz zapewnienie odtwarzalności danych. Ciągłość działania to główne kryterium standardu. Możliwa jest integracja standardu z innymi normami - ISO 27001 oraz ISO 20000.

Audyt kolokacji - jest to sprawdzenie podwykonawcy jakim jest centrum danych (w przypadku przechowywania części infrastruktury organizacji na zewnątrz). Umożliwia ocenę kolokacji pod względem jej jakości oraz zgodności z konkretnym poziomem w jakim centrum danych jest sklasyfikowane rozpatrując wymagania normy. Pozwala to na upewnienie się, że kolokacja z jakiej korzysta Twoja organizacja spełnia wymagania gwarantujące ciągłość działania oraz bezpieczeństwo powierzonych danych.