Ten poradnik służy do przygotowania zakresu i dowodów do audytu. Pytanie o to, kto podlega audytowi cyklicznemu i jak często, omawiamy w osobnym artykule o obowiązku audytu.
FAQ KSC, pytanie 9.1, wskazuje na cały system informacyjny wykorzystywany przez podmiot, nie tylko fragment powiązany z jedną usługą.
Checklista zakresu audytu
Rekomendacja praktyczna: poniższa procedura jest propozycją organizacyjną, a nie dodatkowym obowiązkiem ustawowym ani urzędowym formularzem.
- Usługi i właściciele: wypisz procesy, ich właścicieli oraz systemy, bez których nie mogą działać.
- Systemy wspierające: dodaj tożsamość i konta administracyjne, sieć, pocztę, stacje robocze, kopie zapasowe oraz monitoring.
- Zależności zewnętrzne: wskaż dostawców, połączenia zdalne i integracje. Sam outsourcing nie opisuje granicy audytu.
- Granice: każde wyłączenie z zakresu uzasadnij i uzgodnij z wykonawcą. Sprawdź, czy wyłączony element może oddziaływać na usługę.
Arkusz dowodów do przygotowania
| Obszar | Przykładowy dowód | Co sprawdzić |
|---|---|---|
| Dostęp | Wynik przeglądu uprawnień | Czy wykryte zbędne uprawnienia odebrano? |
| Kopie | Protokół odtworzenia | Czy odtworzono działającą usługę, a nie tylko plik? |
| Incydenty | Oś czasu i zgłoszenia | Czy można odtworzyć decyzje i uzupełnienia? |
| Ryzyko | Rejestr ryzyk i działań | Czy działanie ma właściciela i dowód zakończenia? |
Przy każdym dowodzie dopisz właściciela, datę, lokalizację i zasady dostępu. Nie wysyłaj całego repozytorium danych bez uzgodnienia potrzeby i bezpiecznego kanału.
Przykład granicy, którą łatwo przeoczyć
Aplikacja działa na wydzielonym serwerze, ale administrator loguje się z ogólnej stacji i korzysta ze wspólnego systemu tożsamości. Samo sprawdzenie serwera pomija drogę dostępu do niego. W arkuszu zależności uwzględnij tę stację, tożsamość i sposób administracji.
Źródło zasad zakresu: FAQ KSC, dział 9, pytanie 9.1. Aktualizacja redakcyjna: 15.10.2026.