Ako pripraviť IT podporu na audity ISO 27001, NIS2 a DORA

Keď mi firma povie, že ju čaká audit, prvé miesto, kam sa pozriem, je service desk. Nie šanón s politikami, nie konfigurácia firewallu, ale fronta podpory. To ľudí prekvapuje, ale nemalo by. Podpora je miesto, kde sa incidenty prvýkrát zisťujú, zaznamenávajú a klasifikujú a kde každý deň prúdia prístupy a zmeny. Keď audítor chce dôkaz, že naozaj fungujete tak, ako hovoria vaše politiky, ten dôkaz žije vo vašich tiketoch.

Dobrá správa je, že podpora vedená spôsobom ITIL už pokrýva väčšinu toho, čo ISO 27001, NIS2 a DORA žiadajú. Medzera zvyčajne nie je v schopnostiach, ale v dôkazoch a konzistentnosti. Tento sprievodca prechádza tým, čo mať pripravené a čo byť schopný ukázať.

Najdôležitejšia vec, ktorú treba mať správne: NIS2 a DORA dávajú hlásenie incidentov na hodiny. Podľa NIS2 dlhujete včasné varovanie do 24 hodín, oznámenie do 72 hodín a záverečnú správu do jedného mesiaca. Ak váš service desk nedokáže klasifikovať a eskalovať incident dosť rýchlo, zmeškáte regulačný termín. Podpora musí byť napojená na proces hlásenia, nie od neho odrezaná.

Tri rámce v jednej tabuľke

Rámec	Čo to je	Čo chce od podpory
ISO 27001	Systém riadenia informačnej bezpečnosti (ISMS), dobrovoľná certifikácia často ťahaná tlakom klientov a tendrov	Riadené incidenty, prístupy, zmeny, logy, dodávatelia, kontinuita a dôkazy pre všetko
NIS2	Smernica EÚ o kybernetickej bezpečnosti, transponovaná do národného práva naprieč EÚ	Opatrenia riadenia rizík plus hlásenie incidentov v prísnych termínoch, so zodpovednosťou vedenia
DORA	Nariadenie EÚ o digitálnej prevádzkovej odolnosti pre finančný sektor, účinné od januára 2025	Klasifikácia a hlásenie závažných ICT incidentov, odolnosť, testovanie a riadenie rizík tretích strán

Tie tri sa prekrývajú oveľa viac, než sa líšia. Postavte podporu dobre raz a uspokojíte väčšinu všetkých troch.

Prečo je service desk prvá línia

Audítori sú vyškolení sledovať tvrdenie až k jeho dôkazu. Hovoríte, že riadite incidenty? Ukážte mi ten posledný závažný, od začiatku do konca. Hovoríte, že privilegovaný prístup majú len oprávnení ľudia? Ukážte mi schválenie a poslednú revíziu. Takmer každá z tých stôp vedie cez podporu. Preto je uprataný, dobre vedený service desk v čase auditu cennejší než krásna politika, ktorú nikto nedodržiava.

Deväť vecí, ktoré má podpora pripravená na audit

1. Riadenie incidentov napojené na hlásenie. Matica klasifikácie a závažnosti s jasným prahom pre „toto je hlásiteľné regulátorovi“, eskalačná cesta a šablóny pripravené pre 24-hodinové a 72-hodinové oznámenia. Každý incident úplne zaznamenaný.
2. Logovanie a dôkazy. Každý tiket a úkon s časovou značkou a uchovávaný podľa retenčnej politiky. Keď audítor povie „ukážte mi“, môžete.
3. Riadenie prístupov. Nástup, presun a odchod (joiner, mover, leaver) riešené cez service desk so schváleniami. Zoznam privilegovaných účtov. Pravidelná revízia toho, kto má k čomu prístup.
4. Riadenie zmien a konfigurácií. Zmeny zaznamenané, s posúdením rizika, schválené, otestované, s plánom návratu. Inventár aktív alebo CMDB, aby ste vedeli, čo vlastne podporujete.
5. Kontinuita a prevádzková odolnosť. Runbooky pre výpadky, plán obnovy po havárii, komunikačný plán. Pre DORA dôkaz, že ste odolnosť otestovali, nielen zdokumentovali.
6. Riziko tretích strán. Register dodávateľov za vašou podporou (ITSM nástroj, akákoľvek outsourcovaná L1, dodávatelia vzdialeného prístupu) so zmluvami, SLA a exit plánmi.
7. Zdokumentované procesy a znalosti. SOP, runbooky, eskalačná matica a politiky, všetko verzované a revidované podľa harmonogramu. Audítori chcú „zdokumentované a naozaj dodržiavané“.
8. Meranie a reporting. Definované SLA, MTTR, trendy incidentov a mesačná správa pre vedenie. Takto preukazujete kontrolu a zodpovednosť vedenia.
9. Role a školenia. Jasné RACI, definované vlastníctvo a školenie bezpečnostného povedomia pre pracovníkov podpory, lebo service desk je obľúbeným cieľom sociálneho inžinierstva.

Váš checklist pripravenosti na audit

Tu je skrátená verzia na pripnutie nad stôl. Ak niektorá z týchto vecí chýba, je to priorita ešte pred príchodom audítora.

• Register incidentov s klasifikáciou, časovými značkami a príznakom „hlásiteľné“
• Matica závažnosti mapovaná na prahy hlásenia NIS2 a DORA, plus šablóny na 24 a 72 hodín
• Eskalačná matica, ktorá menuje, kto informuje regulátora
• Záznamy o schválení prístupov, zoznam privilegovaných účtov a dátum poslednej revízie
• Log zmien so schváleniami a plánmi návratu a aktuálny zoznam aktív alebo CMDB
• Verzované SOP a runbooky s dátumami poslednej revízie
• Definície SLA a posledných 6 až 12 mesiacov reportov SLA a MTTR
• Zoznam dodávateľov so zmluvami, SLA a exit plánmi
• Plán kontinuity biznisu alebo obnovy po havárii s nedávnym testom v zázname
• Záznamy o bezpečnostných školeniach tímu podpory
• Retenčná politika pre záznamy a logy podpory
• Balík dôkazov: pár vzorových tiketov, ktoré ukazujú celý proces od začiatku do konca

Zabalili sme to do dvoch dokumentov, ktoré viete použiť hneď: úplný sprievodca a tlačiteľný jednostranový checklist.

• Stiahnite sprievodcu: Podpora pripravená na audit pre ISO 27001, NIS2 a DORA (PDF)
• Stiahnite jednostranový checklist pripravenosti (PDF)

Ako pomáhame

Toto čisto sadá na to, ako pracujeme. Consult spraví gap analýzu vašej podpory voči rámcu, takže presne viete, kde chýbajú procesy a dôkazy, s prioritizovaným akčným plánom. Transform ich zavedie: ITSM nástroj, SLA, eskalácie, runbooky a stopy zmien a prístupov. Operate udržiava stopu dôkazov nažive mesiac za mesiacom, takže ďalší audit je formalita, nie hasenie požiaru.

Ak máte audit na obzore, najlacnejší čas opraviť podporu je teraz, nie týždeň pred ním. Rezervujte si bezplatnú 30-minútovú konzultáciu a pozrieme sa, kde stojíte, a úprimne vám povieme, čo dotiahnuť. Ak radšej začnete sami, náš bezplatný test vyspelosti trvá dve minúty a dá vám prvý obraz.