1. Vymezení rozsahu auditu
Nejdříve společně stanovíme, co je předmětem kontroly: servery, stanice, síť, cloudové služby, uživatelské účty, zálohování, dodavatelé či dokumentace. Záleží také na velikosti organizace, regulovaných činnostech a důležitosti systémů. Bez jasného rozsahu nelze správně porovnávat nabídky auditorů.
2. Sběr podkladů a ověřování
Audit obvykle vychází z rozhovorů, konfigurací, dokumentace a přehledu aktiv. Prověřují se přístupy, aktualizace, způsob správy, zabezpečení záloh, síťové oddělení a řešení incidentů. Aktivní testy a skenování zranitelností se provádějí jen po odsouhlasení rozsahu, aby nenarušily provoz.
3. Hodnocení rizik a priorit
Zjištění se třídí podle významnosti, pravděpodobnosti dopadu a proveditelnosti nápravy. Organizace pak vidí, co řešit hned, co v následujících měsících a co vyžaduje rozpočet nebo rozhodnutí vedení. Součástí může být vyhodnocení legislativních povinností, pokud je to v objednaném rozsahu.
4. Jaké dokumenty byste měli dostat
Očekávejte technický přehled pro správce a srozumitelnou manažerskou zprávu pro vedení. Kvalitní výstup obsahuje popis nálezů, závažnost, doporučenou nápravu, odpovědnost a priority. U rozsáhlejšího zadání se zpracovává také plán realizace opatření a návrh následných kontrol.
5. Co ovlivňuje cenu auditu
Největší rozdíl zpravidla způsobuje počet lokalit, serverů, stanic, sítí, provozních systémů a požadovaná hloubka testování. Jednorázový audit proto naceňujeme individuálně. Na něj může navázat měsíční bezpečnostní podpora od 8 999 Kč bez DPH; paušál sám o sobě kompletní audit neobsahuje.
Předpisy a další zdroje
Text slouží k základní orientaci. Nejde o závazný právní výklad ani individuální posouzení konkrétní organizace.