ISO 27001 je standard pro zavedení a rozvoj systému řízení bezpečnosti informací (ISMS). Nejde jen o přípravu na certifikaci, ale o nastavení rolí, odpovědností, řízení rizik, dokumentace, procesů a bezpečnostních opatření tak, aby odpovídaly vašemu prostředí i způsobu fungování organizace.

Nejprve si potvrdíme současný stav, rozsah ISMS a cíl, ke kterému potřebujete dojít. Potom provedeme posouzení stavu, navrhneme priority a pomůžeme s přípravou nebo úpravou potřebných procesů, dokumentace a opatření. Výsledkem je zavedený a certifikovaný ISMS podle normy ISO 27001.

‍

ISO 22301 je standard pro zavedení a rozvoj systému řízení kontinuity činností (BCMS). Nejde jen o vytvoření plánů pro případ výpadku, ale rovněž o nastavení odpovědností, priorit a postupů tak, aby organizace dokázala udržet nebo včas obnovit své klíčové procesy a služby.

Nejprve si potvrdíme současný stav, rozsah BCMS a cíle, kterých potřebujete dosáhnout. Následně provedeme analýzu dopadů (BIA), zmapujeme kritické činnosti a jejich závislosti a pomůžeme s přípravou plánů kontinuity činností (BCP), plánů obnovy (DRP) a jejich testováním. Výsledkem je zavedený systém řízení kontinuity podle ISO 22301, který je použitelný v praxi a připravený na certifikaci.

ISO 42001 je standard pro řízení AI, nejen jako formální standard k certifikaci. Pomáhá organizaci nastavit odpovědnosti, pravidla, procesy a kontrolní mechanismy pro celý životní cyklus AI systémů, ať už AI sama vyvíjí, poskytuje, nebo používá v běžném provozu.

V rámci přípravy se zaměřujeme na to, aby požadavky standardu navazovaly na reálné fungování organizace. Projdeme současný stav, navrhneme cílový rozsah, připravíme potřebné podklady a pomůžeme nastavit udržitelné řízení AI tak, aby bylo srozumitelné pro management, IT i další zapojené role.

‍

IEC 62443 je sada norem pro kybernetickou bezpečnost v OT prostředí a zaměřuje se na požadavky životního cyklu vývoje bezpečného produktu i na související technická bezpečnostní opatření.

Nabízíme kompletní pokrytí od úvodního posouzení a návrhu cílového stavu přes implementaci požadavků a potřebné dokumentace až po metodickou podporu při posouzení a získání potřebných certifikací. Postup přizpůsobíme vašemu prostředí, procesům a konkrétním produktům v OT tak, aby bylo jasné, co je potřeba chránit, v jakém rozsahu a jaké kroky k tomu vedou.

‍

NIS2 / ZokB chápeme jako rámec, který pomáhá převést kybernetickou bezpečnost z dílčích aktivit do jasně řízeného systému. V českém prostředí proto neřešíme jen samotnou směrnici NIS2, ale hlavně její dopad přes zákon o kybernetické bezpečnosti, navazující vyhlášky a případné prováděcí nařízení.

Nejprve si vyjasníme, zda a v jakém rozsahu se vás regulace týká, jaký je váš současný stav a které oblasti bude potřeba řešit přednostně. Potom zmapujeme dopad požadavků na procesy, dokumentaci, role a opatření a navrhneme další postup podle priorit. Výsledkem je srozumitelný plán pro implementaci požadavků.

‍

TISAX (Trusted Information Security Assessment Exchange) je standardem pro hodnocení informační bezpečnosti v dodavatelském řetězci, který je nejčastěji využíván v oblasti automotive. Zaměřujeme se na to, aby požadavky nebyly jen formální, ale aby se promítly do reálně fungujících pravidel, procesů a odpovědností napříč organizací a byly obhajitelné vůči požadavkům zákazníků i partnerů.

Nabízíme kompletní pokrytí od úvodního posouzení a návrhu cílového stavu přes implementaci potřebných opatření a dokumentace až po metodickou podporu při posouzení a získání požadovaného hodnocení. Postup přizpůsobíme vašemu prostředí a rozsahu, ve kterém TISAX potřebujete řešit, aby bylo jasné, co je potřeba doplnit, v jaké prioritě a jaké kroky k tomu povedou.

‍

SOC 2 je rámec pro prokázání, že bezpečnostní a související kontroly nejsou jen deklarované, ale skutečně nastavené a řízené. Důležité je pochopit, které oblasti jsou pro vaši organizaci relevantní a jak je převést do dokumentace, odpovědností, procesů a důkazů pro auditní posouzení.

Na začátku si potvrdíme rozsah připravenosti, cílové oblasti a dostupné vstupy. Následně vyhodnotíme současný stav, relevantní kontroly a návaznosti na Trust Services Criteria a navrhneme doporučené pořadí kroků. Výsledkem je praktický podklad pro auditní připravenost (readiness).

‍

DORA je nařízení pro digitální provozní odolnost finančních subjektů. Nejde jen o formální soulad s předpisem. Důležité je pochopit dopad požadavků na ICT risk management, incidenty, testování odolnosti, řízení ICT dodavatelů a další navazující procesy.

Nejprve si potvrdíme, v jakém rozsahu se vás DORA týká a jaké vstupy máte k dispozici. Potom vyhodnotíme návaznost požadavků na procesy, role, dokumentaci, incident management, testování a řízení dodavatelů a navrhneme priority dalšího postupu. Výsledkem je srozumitelný plán pro implementaci požadavků.

‍

Cyber Resilience Act (CRA) je nařízení pro kybernetickou odolnost produktů s digitálními prvky. Nejde jen o jednorázové posouzení shody. CRA dopadá na celý životní cyklus produktu – od návrhu a vývoje přes technickou dokumentaci, řízení zranitelností a bezpečnostní aktualizace až po hlášení aktivně zneužívaných zranitelností a závažných incidentů.

U průmyslových a OT produktů navazujeme také na IEC 62443, která pomáhá požadavky CRA ukotvit do vývoje, technických opatření a řízení bezpečnosti produktu.

‍