Politika revizije i praćenja usklađenosti

Politika revizije i praćenja usklađenosti služi kao temeljni dokument za uspostavu i upravljanje programom strukturirane revizije i praćenja usklađenosti u okviru sustava upravljanja informacijskom sigurnošću (ISMS). Središnja svrha politike je validacija djelotvornosti sigurnosnih kontrola i kontrola privatnosti, osiguravanje usklađenosti s više primjenjivih standarda i pravnih okvira, otkrivanje i otklanjanje praznina u kontrolama te poticanje kontinuiranog poboljšanja prema certifikaciji i spremnosti za reviziju. Politika se široko primjenjuje na sve interne poslovne jedinice, fizička i oblačna okruženja, aplikacije, informacijsku imovinu i pružatelje usluga treće strane koji imaju obveze usklađenosti ili prava na reviziju. Obuhvaća sve oblike revizija, uključujući unutarnju reviziju, vanjsku certifikacijsku reviziju, tehničke procjene usklađenosti i procjene dobavljača trećih strana, kao i procese za korektivne radnje i preventivne kontrole (CAPA), izvješćivanje o metrikama kontrole pristupa te upravljanje revizijskim dokazima. Upravljanje je kritičan fokus. Politika nalaže integrirani Program revizije i praćenja usklađenosti unutar ISMS-a, uključujući godišnje Planove revizije temeljene na riziku, redovite cikluse revizije primjereno kritičnosti imovine te stroge prakse dokumentacije. Mora se voditi Registar revizije, uz praćenje nalaza revizije, odgovornih strana i statusa CAPA, pri čemu se svi revizijski dokazi moraju sigurno pohraniti. Proceduralni zahtjevi osiguravaju nepristranost i objektivnost u skladu s vodećim revizijskim standardima, a vanjske preglede formalno koordiniraju uloge Pravnih poslova i usklađenosti i glavni službenik za informacijsku sigurnost (CISO) radi regulatornog osiguranja. Politika detaljno opisuje odgovornosti raznolikog skupa dionika, uključujući voditelje unutarnje revizije, upravu, IT timove, voditelje odjela te koordinatore nabave/trećih strana, pri čemu svatko ima definirane dužnosti u pogledu suradnje u reviziji, pružanja revizijskih dokaza, korektivnih radnji i nadzora trećih strana. Također propisuje oslanjanje na automatizirane alate za tehničko praćenje usklađenosti i skeniranje ranjivosti te razgraničava postupanje s iznimkama, protokole obrade rizika i proces eskalacije za nesukladnost. Ova politika je izričito mapirana na globalne standarde, uključujući ISO/IEC 27001:2022 (uz specifično pokrivanje unutarnje revizije, preispitivanja od strane uprave i CAPA zahtjeva), ISO/IEC 27002:2022 (kontrole za pregled i revizijsko bilježenje), NIST SP 800-53 (procjene kontrola i praćenje), GDPR (zahtjevi za revizijski trag i revizijske dokaze), NIS2 i DORA (EU direktive za regulirane industrije) te COBIT 2019 (praćenje i usklađenost). Izravno se referenciraju podržavajuće politike za upravljanje rizicima, zadržavanje revizijskih zapisa, upravljanje promjenama, kriptografske kontrole, upravljanje dobavljačima, odgovor na incidente i kontinuitet poslovanja, čime se osigurava da revizijski program jača šire ciljeve upravljanja i usklađenost s propisima u cijeloj organizaciji.