Pred samooceno ZInfV-1
Zberemo dokazila in ugotovimo vrzeli, ki jih je treba urediti pred sprejemom izjave.
Priprava na ZInfV-1 / NIS2
Preverite skladnost. Uredite tveganja. Ohranite nadzor.
Ne glede na to, ali ste javni zavod, zdravstveni dom ali podjetje: pomagamo ugotoviti, katere varnostne zahteve že izpolnjujete, kaj manjka in kako pomanjkljivosti odpraviti. Naše delo se opira na pregled dokumentacije, dejansko preverjanje IT-okolja in razumljiva priporočila.
Priprava na samoocenoTehnična dokazilaPriporočila za vodstvo
Kdaj nas vključiti
Ko potrebujete drugo strokovno mnenje, ne le nove programske opreme.
Pregled je uporaben pred samooceno, po varnostnem incidentu, ob menjavi IT-vzdrževalca ali kadar vodstvo želi dejanski vpogled v stanje informacijske varnosti.
Ob menjavi vzdrževalca
Preverimo dokumentacijo, dostopne pravice, varnostne kopije in odprta tveganja ob predaji.
Po incidentu ali izpadu
Preverimo, ali so dogovorjeni popravki izvedeni in ali so postopki obnovitve učinkoviti.
Za redno poročanje vodstvu
Organiziramo neodvisne periodične preglede in spremljanje odprave ugotovitev.
Zakon in odgovornost
Pomembni in bistveni subjekti nimajo istega postopka.
Pomembni subjekti v skladu s 25. členom ZInfV-1 praviloma izvajajo dokumentirano samooceno skladnosti najmanj enkrat na dve leti oziroma ob pomembnem incidentu. Pri bistvenih subjektih zakon zahteva oceno skladnosti v okviru ustrezno izvedene revizije.
INFO-SEC pomaga pri pripravi, tehničnem preverjanju, zbiranju dokazil in odpravljanju neskladnosti. Naša storitev sama po sebi ni zakonsko predpisana formalna revizija in ne pomeni potrdila o skladnosti.
Jasna razmejitev
Dokončno odločitev o svojem statusu, načinu samoocene in podpisu izjav sprejme naročnik oziroma odgovorna oseba. Pri formalnih ocenah sodelujemo le v vlogi, za katero smo ustrezno pooblaščeni in usposobljeni.
Uradne informacije URSIV →Tehnično preverjanje
Ne ostanemo pri vprašalniku. Preverimo dejansko stanje.
Pregled izvedemo na dogovorjenih sistemih s pisnim dovoljenjem naročnika. Združujemo preverjanje nastavitev, analizo evidenc, intervjuje in po potrebi omejeno varnostno skeniranje.
| Področje | Kaj preverimo | Primer dokazila |
|---|---|---|
| Popis IT-sredstev | Strežniki, računalniki, omrežne naprave, operacijski sistemi, lastništvo in pomembne storitve. | Popis naprav, seznam OS, omrežni načrt. |
| Active Directory | Neaktivni in privilegirani računi, skupine, geselne politike, GPO, servisni računi in pravice dostopa. | Izvoz nastavitev AD in seznam ugotovitev. |
| Microsoft 365 | MFA, skrbniške vloge, zunanje deljenje, varnost pošte, dostopi in priporočila Secure Score. | Izpis ključnih nastavitev, priporočila. |
| Omrežje in požarni zid | Segmentacija, VPN, administrativni dostop, pravila in izpostavljene storitve. | Povzetek pravil, popis storitev, diagram. |
| Posodobitve in zaščita | Stanje popravkov, zastareli OS, protivirusna zaščita, požarni zid na postajah in šifriranje. | Evidence posodobitev, status zaščite. |
| Varnostne kopije | Uspešnost kopiranja, zaščita kopij, hramba, RPO/RTO in dokaz o obnovitvenem testu. | Izpis opravil, zapisnik testne obnove. |
| Dnevniki in incidenti | Zbiranje dogodkov, opozarjanje, hramba, postopki prijave in odzivanja. | Vzorec dnevnikov, politika odzivanja. |
| Dokumentacija in dobavitelji | Politike, register tveganj, pogodbeni dostopi, neprekinjeno poslovanje, odgovornosti izvajalcev. | Kontrolni seznam zahtev in manjkajočih dokazil. |
Kako uporabljamo orodja?
Po potrebi uporabimo PowerShell, Nmap, namenska orodja za analizo konfiguracij, Microsoftove administratorske konzole ter podatke obstoječega sistema za varnostno kopiranje in zaščito. Samodejno skeniranje ne predstavlja celotne presoje; rezultate ročno preverimo in ovrednotimo.
Medicinske naprave, kritične aplikacije in občutljive storitve so iz aktivnega skeniranja izvzete, dokler ni njihova varnost za tak preizkus posebej potrjena.
Periodična storitev
Neodvisni nadzor informatike. Jasna slika za vodstvo.
Organizacijam, ki že imajo lastno IT-ekipo ali zunanjega vzdrževalca, nudimo občasno preverjanje, ali so ključna IT-opravila izvedena, tveganja obvladovana in dogovorjene izboljšave dejansko zaključene.
Mesečni pregled
Stanje varnostnih kopij, kritičnih posodobitev, odprtih incidentov, privilegiranih dostopov in izvedenih opravil izvajalca.
Izhod: kratek zapisnik z opozorili, praviloma v 5 delovnih dneh po izvedenem pregledu.
Četrtletni nadzor
Vzorec konfiguracij, pravila požarnega zidu, dostopi zunanjih izvajalcev, spremembe infrastrukture in odprava prejšnjih ugotovitev.
Izhod: četrtletno poročilo, praviloma v 10 delovnih dneh po izvedenem pregledu.
Letni pregled
Posodobitev tveganj, pregled učinkovitosti kontrol, obnovitvenih testov in dokumentacije ter priporočila za naslednje obdobje.
Izhod: letni pregled za vodstvo in načrt prioritet v dogovorjenem roku.
Ne prevzamemo vašega IT-vzdrževanja. Preverjamo njegovo izvedbo.
Na primer: ali so bile kritične posodobitve izvedene, ali so bile varnostne kopije uspešne, ali so bili odhodi zaposlenih pravilno urejeni in ali ima izvajalec evidence o opravljenem delu.
Naročnik ohranja upravljanje IT-okolja in odloča o ukrepih. Nadzornik zbira dokazila, opozarja na tveganja in pripravi neodvisno strokovno oceno stanja.
Primer uporabnosti
Zdravstveni dom ima pogodbo z zunanjim IT-vzdrževalcem, direktor pa želi vsak mesec kratek pregled: kaj deluje, kaj je tveganje, kaj je izvajalec odpravil in katere odločitve mora sprejeti vodstvo.
Neodvisnost: za isto področje ne predstavljamo neodvisnega nadzornika, če hkrati sami izvajamo nadzorovano vzdrževanje.
Rezultat sodelovanja
Kaj natančno prejmete in kdaj?
Vsak pregled zaključimo z jasnimi ugotovitvami in praktičnim načrtom za naslednje korake. Obseg izročitve in točne roke določimo pred začetkom, da veste, kaj naročate. Spodnji roki so samo okvirni.
Uvod in določitev obsega
Ob začetku sodelovanjaSeznam sistemov, kontaktne osebe, dovoljenja, načrt preverjanj in dogovorjene omejitve. Ocenimo potrebno število pregledov in lokacij.
Prve ugotovitve in nujna tveganja
Med pregledomKritične ugotovitve sporočimo brez čakanja na končno poročilo, po dogovorjenem varnem komunikacijskem kanalu.
Končno poročilo in matrika zahtev
Ob zaključku dogovorjenega pregledaPrejmete povzetek za vodstvo (PDF), tehnično poročilo s preverjenimi ugotovitvami, matriko zahtev in dokazil (Excel) ter prednostni načrt ukrepov z odgovornimi osebami in predlaganimi roki.
Predstavitev vodstvu in ponovno preverjanje
Po dogovoruNa skupnem sestanku pregledamo prednostne ukrepe. Ponovni pregled že odpravljenih pomanjkljivosti je lahko dodatna storitev ali del periodičnega nadzora.
Poročilo za vodstvo
Pregledno stanje tveganj, bistvene ugotovitve, vpliv na poslovanje in predlog odločitev.
Matrika zahtev
Kontrolni seznam ZInfV-1: zahteva, stanje, dokaz, ugotovitev, odgovorna oseba in rok.
Načrt izboljšav
Ukrepi po prioritetah, ocena zahtevnosti in način preverjanja uspešne odprave.
Okviren čas izvedbe
Pri manjšem okolju in pravočasno zagotovljenem dostopu je za začetni pregled običajno mogoče načrtovati približno 5–15 delovnih dni; poročilo je del zaključka pregleda. Pri mesečnem nadzoru je okvirni rok za zapisnik 5 delovnih dni po pregledu, pri četrtletnem poročilu pa 10 delovnih dni. Navedeni roki niso zavezujoči. Dejanski terminski načrt potrdimo v ponudbi glede na obseg in razpoložljivost naročnika.
Informativne cene
Okvirni cenik. Končno ceno določimo s ponudbo.
Spodnje cene so informativni razponi za tipične manjše in srednje zahtevne IT-okolja. Ne pomenijo končne ali zavezujoče ponudbe.
Pomembno: cene so izključno okvirne in niso končne.
Končna cena se določi šele po uvodnem pogovoru in dogovoru o obsegu ter je zapisana v individualni ponudbi. Odvisna je od števila uporabnikov, naprav, strežnikov in lokacij, kompleksnosti, kakovosti dokumentacije, obsega tehničnih testov in želenih rokov. Vse navedbe so v EUR brez morebitnega DDV.
Preverjanje pripravljenosti
Uvodni razgovor, hiter pregled ključnih obveznosti in osnovni seznam naslednjih korakov.
590–990 €
Okvirno • enkratno • ne končno
PovpraševanjeAnaliza vrzeli in dokumentacije
Pregled obveznosti, obstoječih politik, evidenc, organizacijskih ukrepov in matrika neskladnosti.
1.290–2.490 €
Okvirno • enkratno • ne končno
PovpraševanjeIT-infrastruktura in varnost
Preverjanje izbranih omrežnih storitev, AD, M365, zaščite, dostopov in varnostnih kopij.
1.490–3.490 €
Okvirno • enkratno • ne končno
PovpraševanjePriprava podlag za samooceno
Kontrolna matrika, pregled dokazil, razvrstitev ugotovitev in predlogi za odpravo.
990–2.490 €
Okvirno • enkratno • ne končno
PovpraševanjeOsnovni neodvisni nadzor
Mesečni pregled izbranih evidenc, status odprtih tveganj in kratek zapisnik za vodstvo.
od 390 € / mesec
Okvirna izhodiščna cena • ne končna
PovpraševanjeRazširjeni neodvisni nadzor
Poleg rednega pregleda tudi četrtletno vzorčenje konfiguracij, evidenc in odprave ukrepov.
od 690 € / mesec
Okvirna izhodiščna cena • ne končna
PovpraševanjeKaj ni samodejno vključeno?
Obsežno penetracijsko testiranje, kompleksna analiza medicinskih ali industrijskih naprav, odprava vseh ugotovljenih napak, potni stroški za več lokacij, formalna revizija ZInfV-1 in certifikati skladnosti niso vključeni, razen če je to izrecno določeno v ponudbi.
Pogosta vprašanja
Preden se odločite za pregled.
Ali pregled pomeni, da je organizacija uradno skladna z ZInfV-1?
Ne. Pripravimo strokovne ugotovitve in podporo pri pripravi na samooceno. Formalna ocena skladnosti bistvenega subjekta in izjava pomembnega subjekta sta ločena zakonsko urejena postopka.
Imamo notranji IT in zunanjega vzdrževalca. Ali je nadzor vseeno smiseln?
Da. Storitev je namenjena prav neodvisnemu preverjanju izvedenih ukrepov in poročanju vodstvu. Obseg nadzora določimo tako, da ne podvajamo rednega vzdrževanja.
Ali lahko pregled moti delovanje zdravstvenega informacijskega sistema?
Preverjanje načrtujemo z naročnikom. Pred aktivnim skeniranjem določimo dovoljena območja, časovne omejitve in sisteme, ki jih ne smemo skenirati. Občutljive naprave preverjamo po posebnem postopku.
Ali morate dobiti administratorska gesla?
Ne nujno. Prednost imajo časovno omejeni in sledljivi dostopi z najmanjšimi potrebnimi pravicami, izvoz konfiguracij s strani naročnika ter pregled v prisotnosti skrbnika. Način dostopa določimo pred izvedbo.
Kdo dobi poročilo in koliko časa se hranijo dokazila?
Prejemnike določi naročnik. Občutljive priloge, dnevniške izpise in konfiguracije predajamo po dogovorjenem varnem kanalu, obseg hrambe in odstranitev kopij pa določimo s pogodbo.
Ali je okvirni cenik končna ponudba?
Ne. Vse navedene cene so orientacijske. Končno ceno in vsebino storitve potrdimo šele v individualni pisni ponudbi po dogovoru o obsegu.
Pogovor brez obveznosti
Povejte nam, kaj želite preveriti.
Na kratko navedite dejavnost organizacije, približno število uporabnikov in naprav, število lokacij ter ali vas zanima priprava na ZInfV-1, tehnični pregled ali neodvisen periodični nadzor.
Po uvodnem pogovoru določimo obseg in pripravimo individualno, končno ponudbo. Informativni cenik na spletni strani ni zavezujoč.