Beantwoord de vragenlijst en de steekproef van de auditor uit de vastleggingen die het werk al achterlaat.

Dezelfde vragen komen steeds terug: wie had toegang, is die beoordeeld, werkt een herstel, wie keurde de wijziging goed. Opafra schrijft de vastlegging terwijl het werk gebeurt, dus elk antwoord is een opzoeking en geen zoektocht door tickets en chat.

De vragenlijst

Antwoorden per CyFun-maatregel, ook waar het antwoord nee is.

Het antwoordpakket noemt de vragen per ID, in eigen woorden, met wat de vastlegging geeft. Waar Opafra niet helpt, omdat het antwoord een beleid is of een systeem dat Opafra niet ziet, zegt de rij dat.

Bewijs per maatregel

Vier vastleggingen, één voor elke maatregel die ze beantwoorden.

Elke vastlegging is bewijs voor een maatregel uit het CyFun-kader. Waar ze een sleutelmaatregel beantwoordt, staat die erbij; de andere IDs zijn maatregelen. Valt uw organisatie zelf onder Uitvoeringsverordening (EU) 2024/2690, dan staat hieronder ook het punt daarvan. Zie alle vier op de bewijspagina.

Toegang van leveranciers, ID.AM-08.11: Wie het vroeg, wie goedkeurde, het venster en hoe het eindigde. De sleutelmaatregelen PR.AA-03.3 en PR.AA-03.2 horen erbij. Bij de uitvoeringsverordening: punt 6.7.2(h). Toegang voor leveranciers.
Toegangsreview, PR.AA-05: Wie beoordeelde, wanneer, en wat er veranderde. Sleutelmaatregel PR.AA-05.4 hoort erbij. Bij de uitvoeringsverordening: punt 11.3.3. Bevoorrechte toegang.
Hersteltest, PR.DS-11.2: Het resultaat en de hersteltijd. De sleutelmaatregel PR.DS-11.1 (back-ups op een ander systeem) beantwoordt Opafra niet. Bij de uitvoeringsverordening: punt 4.2.6. Back-ups en herstel.
Wijziging, PR.PS-06.2: De keten van verzoek tot uitkomst, goedgekeurd voor de exacte revisie. Patchruns met de reden bij een overgeslagen server horen bij sleutelmaatregel ID.RA-08.1. Bij de uitvoeringsverordening: punt 6.4.2. Wijzigingsbeheer.

ISO 27001-toezichtaudits

De steekproeven van uw volgende toezichtaudit, klaar uit het werk zelf.

Een ISO 27001-certificaat wordt elk jaar opnieuw geaudit, en de auditor neemt een steekproef van wat er sinds het vorige bezoek is gebeurd. Toegangsreviews en wijzigingen horen bij de vastleggingen waar om wordt gevraagd. Voor wat via Opafra loopt, is de steekproef een opzoeking. Opafra is geen certificering en vervangt uw managementsysteem niet.

Fig. 1, vastlegging van de wijziging voor run #4f2a, revisie 7

Change record /Patch nginx across prod, run #4f2a

Sample

@alex → AIDry-run passedApproved by @danaAudited · #4f2a

Origin: Drafted by the AI composer for @alex
Targets: web-01, web-02, web-03 in prod
Dry run: 3 hosts, 12 changes, 0 destructive
Approved: Dana Okafor at 14:32:07, for revision 7 only
Outcome: Completed on 3 hosts, 4 steps

Diffweb-02

/etc/nginx/nginx.conf+3/−2

 --- a/etc/nginx/nginx.conf
 +++ b/etc/nginx/nginx.conf
 @@ -1,7 +1,7 @@
  user  www-data;
−worker_processes  4;
+worker_processes  auto;
  pid /run/nginx.pid;
 @@ -31,6 +31,7 @@
      ssl_prefer_server_ciphers on;
−    ssl_protocols TLSv1.2;
+    ssl_protocols TLSv1.3;
+    ssl_session_tickets off;

Wat dit is en niet is

Bewijs voor een maatregel, geen oordeel.

De vastleggingen zijn bewijs voor de maatregelen die ze beantwoorden. Ze zeggen niet dat een organisatie een bepaald niveau haalt, en Opafra is geen certificering of verificatie: de score geeft de beoordelaar. Welke regels voor uw organisatie gelden, is een vraag voor uw eigen adviseurs. Opafra legt vast wat er via Opafra loopt, dus werk op een server langs een andere weg staat er niet in.

Zie de vastleggingen voor uw eigen servers.

Vertel ons welke vragenlijsten en audits u beantwoordt. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.

Vraag een demo aan