Кейси
Проєкти, які пройшли зовнішній аудит
Назви компаній не публікуємо без письмової згоди. Для кожного кейса вказані вихідна ситуація, обсяг робіт і результат.
Сертифікація SaaS-платформи на вимогу enterprise-клієнта
Вихідна ситуація
Тендер із європейським замовником вимагав чинний сертифікат ISO 27001. Процеси доступу та керування змінами існували фактично, але не були описані; політик безпеки не було.
Обсяг робіт
GAP-аналіз, оцінка ризиків за ISO 27005, повний комплект документації СУІБ, налаштування процесів керування доступом та інцидентами, внутрішній аудит, супровід сертифікаційного аудиту.
Результат
✓Сертифікат ISO 27001:2022 отримано з першого подання
✓Закрито 41 невідповідність за Додатком A
✓Процеси СУІБ інтегровано в наявний CI/CD, без окремого контуру
41 → 0
невідповідностей на момент аудиту
7 міс
від діагностики до сертифіката
Приведення обробки даних покупців у відповідність GDPR
Вихідна ситуація
Компанія почала продажі в ЄС. Політика конфіденційності була скопійована з шаблону, транскордонна передача даних до підрядників не документувалася, DPO не призначений.
Обсяг робіт
Інвентаризація процесів обробки, DPIA для двох високоризикових процесів, реєстр обробки, договори з процесорами, процедура реагування на запити суб'єктів даних, модель DPO-as-a-Service.
Результат
✓Реєстр обробки на 34 процеси, з правовою підставою для кожного
✓Процедура відповіді на запити суб'єктів у межах 30 днів
✓Зовнішній DPO без наймання ролі в штат
34
процеси обробки задокументовано
2
DPIA для високоризикових процесів
Незалежний аудит ІБ перед перевіркою регулятора
Вихідна ситуація
Наглядова перевірка за вимогами НБУ була запланована на наступний квартал. Внутрішня служба ІБ не мала незалежної оцінки стану контролів.
Обсяг робіт
Аудит відповідності вимогам Постанови №95, перевірка конфігурацій керування доступом, логування й сегментації без доступу до продакшн-систем, оцінка документації, звіт із рівнями критичності.
Результат
✓Звіт зі 68 знахідок, згрупованих за пріоритетом усунення
✓План усунення з розподілом за відповідальними та строками
✓Критичні знахідки закриті до приходу регулятора
68
знахідок з рівнем критичності
6 тиж
тривалість аудиту
Підготовка внутрішніх аудиторів СУІБ і навчання персоналу
Вихідна ситуація
Після сертифікації компанія потребувала власних внутрішніх аудиторів замість щорічного залучення підрядника, а рівень обізнаності персоналу не вимірювався.
Обсяг робіт
Програма внутрішнього аудитора СУІБ за ISO 19011 для шести співробітників, практикум з оцінки ризиків, курс кібергігієни для всього персоналу з перевіркою знань.
Результат
✓6 сертифікованих внутрішніх аудиторів у штаті
✓Внутрішній аудит виконується власними силами
✓Обізнаність персоналу вимірюється двічі на рік
6
внутрішніх аудиторів підготовлено
450
співробітників пройшли навчання
Кейси показані як структура подачі — цифри та описи потрібно замінити на реальні дані проєктів.