180 nap egy olyan auditig, amelyen valóban át is megy

A projektindításnál, nem az aláírásnál — és a kettő között napok vannak, nem hetek. A platform-hozzáférés és az onboarding, maga a kick-off, valamint az információbiztonsági felelős bejelentése a felügyeleti hatósághoz mind az első két hétbe esik, a hatókör tisztázása és a GAP-elemzés pedig az első tíz napon belül indul.

A platform minden megbízásnál a szolgáltatás része, és benne van a díjban. A tárolási régió a platform indítása előtt kerül kiválasztásra — EU vagy USA —, tehát ez az induláskor Önökkel közösen meghozott döntés, nem valami, ami később derül ki.

Csapat, nem egy ember, hogy a program ne álljon meg, ha valaki éppen nincs: vezető vCISO, akié a szakmai felelősség és a vezetői riportálás; IBF-szakértő, aki a jogszabályi képesítést és a hatósági kapcsolattartást hozza; tanácsadó a szabályzatokhoz, nyilvántartásokhoz és bizonyítékokhoz; és technikai szakértő a hozzáférés-kezeléshez, végpontvédelemhez, naplózáshoz, mentéshez és helyreállításhoz. Együtt ISO/IEC 27001 Lead Auditor, NIS2 auditor, ISO/IEC 42001 Lead Auditor, CISA és CISM minősítéseket tartanak. A munka körülbelül ötöde helyszíni, a felmérés és a próbaaudit felé súlyozva.

Lehet külső megbízott is: a 2024. évi LXIX. törvény (Kiberbiztonsági törvény) ezt kifejezetten megengedi. A szerepkört nevesített személlyel vállaljuk, aki megfelel a jogszabályi képzettségi és képesítési feltételeknek, és akit bejelentünk az SZTFH-hoz; külső IBF esetén a 418/2024. (XII. 23.) Korm. rendelet szerinti minimális helyszíni jelenlét is dokumentáltan teljesül. Egy dolgot mondjunk ki tisztán: a szervezet vezetőjének jogszabályi felelőssége megmarad. Mi a szakmai feladatokat végezzük és a döntéseket készítjük elő — a felelősséget senkiről nem tudjuk levenni.

Havi két-három órát a vezetői szponzortól: a hatókör és a terv jóváhagyása, a havi riport és a GO/NO-GO. Heti három-négy órát attól, aki a projektet belül viszi, jellemzően az IT-igazgatótól. És heti egy–másfél napot az IT-üzemeltetéstől az első öt hónapban, mert a kontrollokat valakinek be kell vezetnie és be kell mutatnia. Ez az utolsó szám egy auditfelkészítés valódi költsége, és jobb, ha az aláírás előtt tudják, nem a második hónapban derül ki.

Akkor egy része nem is indul el — döntésként, nem elcsúszásként. Minden hiányosságot kockázat, sürgősség és a rendelkezésre álló időben valóban megvalósítható szerint sorolunk három csoportba: audit-kritikus és most megvalósítható; audit-kritikus, de hosszabb átfutású — azonnal induló, kompenzáló kontrollal és dokumentált haladással; és nem audit-kritikus, amely külön, hosszabb távú fejlesztési tervbe kerül, és tudatosan kimarad a 180 napból. A felosztást mi javasoljuk, a vezetés hagyja jóvá, a 60. napi mérföldkőnél.

Mert a próbaaudit úgy fut, ahogy a valódi fog, nem önértékelésként. A hivatalos audit saját módszertanát követi: dokumentumvizsgálat, mintavételes bizonyítékellenőrzés, interjúk, és a technikai kontrollok bemutatása, nem pedig leírása. Az audit-kritikus kontrollokat teljes körűen fedjük le, a többit mintavételesen, és a megállapításokat súlyosság szerint osztályozva kapják meg, mindegyikhez javító és megelőző intézkedési tervvel. Ahol a bizonyíték nem áll meg, a javaslat NO-GO.

Nem, és ez a szétválasztás szerkezeti, nem ígéret: a kiberbiztonsági auditot nyilvántartásba vett, független auditor végzi, és az ő díja nem része a miénknek. Nálunk a felkészítés van, majd magának a hivatalos auditnak a koordinációja, a CISO és az információbiztonsági felelős (IBF) szerepkörben.

Fix havi díj két szakaszban: a felkészülés hónapjaira magasabb, az azt követő operációs hónapokra alacsonyabb, óraelszámolás nélkül, a platformmal együtt. A számot nem a ráfordított órák mozgatják, hanem a környezet mérete: hány munkatárs és felhasználói fiók, hány telephely, hány rendszer esik az audit hatókörébe és milyen biztonsági osztályba, és hány kritikus beszállítót kell felmérni.