Audyt systemów informacyjnych
Jak sprawdzić, czy kontrola działa i jakie materiały potwierdzają jej stosowanie.
Certified Information Systems AuditorCertyfikowany audytor systemów informacyjnych
Przeszkolony pracownik to mniejsze ryzyko
Szkolenia SZBI i NIS2
Od rozpoznania próby oszustwa po decyzję zarządu o ograniczeniu ryzyka. Pomagamy pracownikom i kierownictwu zrozumieć swoją rolę w ochronie informacji, sprawnie reagować na zagrożenia i utrzymywać bezpieczeństwo także po zakończeniu wdrożenia SZBI.
Przygotuj zespół do stosowania zasad bezpieczeństwa w codziennej pracy. Szkolenia Certivo łączą cyberbezpieczeństwo, wymagania NIS2 i utrzymanie systemu zarządzania bezpieczeństwem informacji (SZBI) z procesami oraz dokumentacją Twojej organizacji.
Perspektywa audytu i ryzyka
Szkolenia prowadzone przez audytora CISA i specjalistę CRISC
Łączymy spojrzenie audytora systemów informacyjnych z podejściem do zarządzania ryzykiem. Pokazujemy, jak oceniać zabezpieczenia, przypisywać odpowiedzialność i sprawdzać, czy przyjęte zasady działają.
Wyjaśniamy zależności między dokumentami, procesami, ryzykami i dowodami. Uczestnicy pracują na sytuacjach odpowiadających ich roli: od podejrzanej wiadomości po decyzję kierownictwa o dalszych działaniach.
Certyfikowany audytor systemów informacyjnych
Ryzyko i mechanizmy kontroli
Jak powiązać zagrożenie ze skutkiem dla organizacji i dobrać sposób postępowania.
Certified in Risk and Information Systems ControlCertyfikacja w zakresie ryzyka i kontroli systemów informacyjnych
Program dopasowany do odpowiedzialności uczestników
Pracownik, koordynator SZBI i członek zarządu podejmują inne decyzje. Dobieramy język, przykłady i ćwiczenia do ich zadań oraz specyfiki organizacji.
Dla JST
SZBI w codziennej pracy urzędu
Dla urzędów, jednostek organizacyjnych i osób koordynujących bezpieczeństwo informacji. Łączymy zasady ochrony danych z ciągłością usług dla mieszkańców i odpowiedzialnością pracowników.
- Rola kierownictwa, koordynatora SZBI, IT i właścicieli procesów.
- Stosowanie dokumentacji w obiegu pism, obsłudze mieszkańców i współpracy z dostawcami.
- Zgłaszanie zdarzeń, eskalacja i organizacja pracy podczas niedostępności systemów.
- Przeglądy, szkolenia i dowody potrzebne do utrzymania SZBI po zakończeniu projektu.
PRZYKŁAD ĆWICZENIA
Urząd otrzymuje podejrzaną wiadomość dotyczącą płatności. Uczestnicy ustalają, jak sprawdzić dyspozycję, komu zgłosić zdarzenie i jak zachować informacje potrzebne do analizy.
Cel szkolenia
Uczestnicy ćwiczą stosowanie zasad w realiach jednostki oraz wskazywanie osób odpowiedzialnych za kolejne działania.
Dla pracowników
Bezpieczne nawyki, które można zastosować od razu
Dla pracowników administracyjnych i operacyjnych w urzędach oraz firmach. Wyjaśniamy zagrożenia prostym językiem i ćwiczymy decyzje podejmowane przy poczcie, dokumentach oraz kontach służbowych.
- Phishing, fałszywe faktury, podszywanie się pod przełożonych i presja czasu.
- Hasła, uwierzytelnianie wieloskładnikowe, blokowanie ekranu i aktualizacje.
- Bezpieczne udostępnianie plików, praca zdalna i korzystanie z zatwierdzonych narzędzi.
- Zgłoszenie pomyłki, utraty urządzenia lub podejrzanej aktywności zgodnie z procedurą.
PRZYKŁAD ĆWICZENIA
Pracownik otrzymuje prośbę o pilną zmianę rachunku kontrahenta. Na przykładzie omawiamy weryfikację innym kanałem oraz ścieżkę zgłoszenia w organizacji.
Cel szkolenia
Uczestnicy uczą się rozpoznawać sytuacje wymagające zatrzymania działania, weryfikacji i szybkiego zgłoszenia.
Dla zarządu
Nadzór nad bezpieczeństwem i świadome decyzje
Dla zarządów, kierowników jednostek i kadry kierowniczej. Pokazujemy, jak rozmawiać o bezpieczeństwie w kategoriach usług, ryzyka, odpowiedzialności i priorytetów organizacji.
- Rola kierownictwa w SZBI oraz kontekst wymagań NIS2 i KSC dla organizacji.
- Ocena ryzyka, wybór działań ograniczających i dokumentowanie decyzji o akceptacji.
- Pytania do IT i właścicieli procesów: skuteczność kontroli, zaległości i gotowość do zakłóceń.
- Reakcja kierownictwa na incydent, komunikacja, ciągłość działania i przegląd wniosków.
PRZYKŁAD ĆWICZENIA
Kluczowa usługa przestaje działać. Kierownictwo analizuje wpływ na odbiorców, wybiera priorytety odtworzenia i ustala odpowiedzialność za decyzje oraz komunikację.
Cel szkolenia
Uczestnicy ćwiczą ocenę informacji zarządczej i podejmowanie decyzji, które mają uzasadnienie oraz właściciela.
Utrzymanie SZBI po wdrożeniu
Masz dokumentację. Pokażmy zespołowi, jak z niej korzystać.
Polityki i procedury nabierają znaczenia, gdy pracownicy wiedzą, kiedy i jak je stosować. Przygotowujemy szkolenie na podstawie gotowej dokumentacji organizacji, również opracowanej wcześniej przez innego wykonawcę.
Wybieramy dokumenty istotne dla danej grupy i przekładamy ich zapisy na konkretne czynności: zgłoszenie zdarzenia, zmianę uprawnień, przegląd ryzyka czy działanie podczas awarii.
Pracujemy na Twoich zasadach
Podstawą mogą być polityka bezpieczeństwa, procedura incydentowa, zasady zarządzania dostępami, rejestr ryzyk, plan ciągłości działania i harmonogram przeglądów.
Zakres dokumentów oraz sposób ich udostępnienia ustalamy przed szkoleniem.
Dokument
Wybieramy procedurę i ustalamy, jakich sytuacji oraz osób dotyczy.
Działanie
Ćwiczymy, co należy zrobić, w jakiej kolejności i komu przekazać informację.
Dowód
Wskazujemy, jak potwierdzić wykonanie: wpisem w rejestrze, notatką, wynikiem przeglądu lub testu.
Utrzymanie
Ustalamy, kiedy wrócić do procedury i jakie zmiany wymagają ponownego sprawdzenia zasad.
Cyberbezpieczeństwo od zapobiegania po reakcję
Zakres szkolenia budujemy z poniższych obszarów. Możemy skoncentrować się na jednym temacie lub połączyć je w program dla różnych grup w organizacji.
Zapobieganie i rozpoznawanie zagrożeńRozpoznaj sygnały ostrzegawcze, zanim podejmiesz działanie.
- Phishing, socjotechnika, fałszywe strony i próby wyłudzenia danych.
- Podszywanie się pod przełożonych, dostawców i instytucje.
- Weryfikacja nietypowych próśb, płatności oraz zmian danych kontaktowych.
Ćwiczenie w programieAnaliza przykładowej wiadomości i wybór bezpiecznego sposobu weryfikacji.
Codzienna higiena cyberbezpieczeństwaPrzenieś zasady bezpieczeństwa na pocztę, pliki i konta.
- Ochrona kont, menedżer haseł i uwierzytelnianie wieloskładnikowe (MFA).
- Aktualizacje, blokowanie urządzeń, praca zdalna i nośniki danych.
- Udostępnianie informacji zgodnie z uprawnieniami oraz korzystanie z chmury i AI według zasad organizacji.
Ćwiczenie w programiePrzegląd sytuacji z codziennej pracy i wskazanie właściwej zasady postępowania.
Reagowanie na zdarzenia i incydentyUstal, co zgłosić, komu i jakie informacje przekazać.
- Rozróżnienie podejrzenia zdarzenia od potwierdzonego incydentu.
- Zgłoszenie, eskalacja, podział ról i współpraca z IT.
- Dokumentowanie działań, komunikacja i wnioski po zdarzeniu.
Ćwiczenie w programiePrzećwiczenie zgłoszenia utraty urządzenia lub podejrzenia przejęcia konta.
Ryzyko i działania mitygującePołącz zagrożenia z procesami i konkretnymi zabezpieczeniami.
- Identyfikacja ryzyk dla usług, procesów, zasobów i relacji z dostawcami.
- Prawdopodobieństwo, wpływ, właściciel ryzyka i ryzyko po zastosowaniu kontroli.
- Mitygacja, czyli ograniczanie ryzyka: działanie, termin, odpowiedzialność i dowód skuteczności.
Ćwiczenie w programieScenariusz: ryzyko nieuprawnionego dostępu → zabezpieczenie → zadanie → potwierdzenie wykonania.
Utrzymanie dokumentacji i kontroli SZBIPracuj na aktualnych zasadach i sprawdzaj ich stosowanie.
- Właściciele dokumentów, przeglądy, zatwierdzenia i zmiany wersji.
- Stosowanie procedur w rzeczywistych zadaniach oraz gromadzenie dowodów.
- Działania po audycie, nadzór nad terminami i przygotowanie do przeglądu systemu.
Ćwiczenie w programiePrzełożenie wybranej procedury organizacji na listę czynności i materiałów potwierdzających wykonanie.
Ciągłość działania i współpraca z dostawcamiPrzygotuj zespół do pracy w warunkach zakłócenia.
- Usługi krytyczne, zależności od systemów i dostawców oraz skutki przerwy.
- Role i komunikacja w planie ciągłości działania (BCP).
- Ćwiczenia, działania naprawcze i ponowne sprawdzenie skuteczności zmian.
Ćwiczenie w programieOmówienie awarii systemu i uzgodnienie kolejności działań według planu organizacji.
Podejście Certivo
Wiedza powiązana z procesami, ryzykiem i dowodami
Wykorzystujemy logikę metodyki CN2ME: wymaganie, kontrola, zadanie, dowód i raport. Uczestnicy widzą, jak ich codzienne decyzje wpływają na bezpieczeństwo usług oraz realizację celów organizacji.
Na przykładzie ryzyka nieuprawnionego dostępu omawiamy zabezpieczenia, odpowiedzialność za wdrożenie i sposób sprawdzenia skuteczności. Pokazujemy też, jak wynik ćwiczenia może prowadzić do aktualizacji procedury lub działania naprawczego.
Co zespół ćwiczy?
- Rozpoznanie sytuacji wymagającej reakcji.
- Zastosowanie procedury odpowiedniej do swojej roli.
- Przekazanie informacji właściwej osobie.
- Udokumentowanie działania i wskazanie dalszych kroków.
W uzgodnionym zakresie możemy pokazać obsługę zadań, dokumentów i dowodów w platformie Certivo.
Od potrzeb organizacji do uzgodnionego programu
Zakres, formę i czas szkolenia dopasowujemy do odbiorców, dokumentacji oraz celu spotkania. Przed realizacją ustalamy, jakie sytuacje zespół ma przećwiczyć.
Poznajemy potrzeby
Ustalamy grupę uczestników, poziom przygotowania i najważniejsze problemy organizacji.
Dobieramy materiał
Wybieramy obszary programu, dokumenty i scenariusze odpowiadające codziennym zadaniom.
Pracujemy z zespołem
Łączymy omówienie zasad z przykładami, ćwiczeniami decyzyjnymi i pytaniami uczestników.
Określamy dalsze kroki
Podsumowujemy wnioski oraz wskazujemy obszary do przećwiczenia, przeglądu lub doprecyzowania.
Przed szkoleniem
Dobry program zaczyna się od ustalenia potrzeb. Oto odpowiedzi na pytania, które pomagają określić zakres współpracy.
Czy szkolenie może opierać się na naszej dokumentacji?
Tak. Po uzgodnieniu zakresu wykorzystujemy wybrane dokumenty organizacji i odnosimy ćwiczenia do opisanych w nich ról, procedur oraz zasad postępowania. Dokumentacja może pochodzić od innego wykonawcy.
Czy pracownicy muszą znać zagadnienia techniczne?
Program dla pracowników opiera się na sytuacjach z codziennej pracy. Wyjaśniamy pojęcia i pokazujemy właściwe działania. Zakres dla IT, koordynatorów lub kierownictwa dobieramy odrębnie.
Ile trwa szkolenie i w jakiej formie się odbywa?
Czas i formę ustalamy po poznaniu liczby uczestników, wybranych tematów oraz zakresu ćwiczeń. W zapytaniu warto wskazać preferowany termin i tryb: online lub stacjonarny.
Jak ustalamy cenę?
Wycena zależy od zakresu, grupy odbiorców, formy oraz przygotowania materiału na podstawie dokumentacji organizacji. Na tej podstawie przedstawiamy propozycję programu i warunki realizacji.
Dobierzmy szkolenie do Twojej organizacji
Napisz, kogo chcesz przeszkolić, jakie tematy są najważniejsze i czy program ma bazować na istniejącej dokumentacji SZBI.
Na tej podstawie przygotujemy propozycję zakresu i uzgodnimy dalsze kroki.
Zacznij działać
Rozpocznij drogę do zgodności z NIS2
Zobacz Certivo na własnych procesach.
Przejdź z nami przez diagnozę KSC bez
chaosu i arkuszy kalkulacyjnych.