Beantwoord de vragenlijst en de steekproef van de auditor uit de vastleggingen die het werk al achterlaat.

Dezelfde vragen komen steeds terug: wie had toegang, is die beoordeeld, werkt een herstel, wie keurde de wijziging goed. Opafra schrijft de vastlegging terwijl het werk gebeurt, dus elk antwoord is een opzoeking en geen zoektocht door tickets en chat.

De vragenlijst

Antwoorden per BIO2-maatregel en GIBIT-artikel, ook waar het antwoord nee is.

Het antwoordpakket noemt de vragen per ID, in eigen woorden, met wat de vastlegging geeft. Waar Opafra niet helpt, omdat het antwoord een beleid is of een systeem dat Opafra niet ziet, zegt de rij dat.

Bewijs per artikel

Vier vastleggingen, één voor elk artikel waar om aantoonbare toepassing wordt gevraagd.

Elke vastlegging is bewijs voor een artikel van het Cyberbeveiligingsbesluit, dat rust op uw klant als entiteit onder de wet. Voor die klant bent u de leverancier. Valt uw organisatie zelf onder Uitvoeringsverordening (EU) 2024/2690, dan staat hieronder ook het punt daarvan. Zie alle vier op de bewijspagina.

Toegang van leveranciers, artikel 10 en 15: Wie het vroeg, wie goedkeurde, het venster en hoe het eindigde. Bij de uitvoeringsverordening: punt 6.7.2(h). Toegang voor leveranciers.
Toegangsreview, artikel 15: Wie beoordeelde, wanneer, en wat er veranderde. Bij de uitvoeringsverordening: punt 11.3.3. Bevoorrechte toegang.
Hersteltest, artikel 9: Het resultaat en de hersteltijd. Bij de uitvoeringsverordening: punt 4.2.6. Back-ups en herstel.
Wijziging, artikel 11: De keten van verzoek tot uitkomst, goedgekeurd voor de exacte revisie. Bij de uitvoeringsverordening: punt 6.4.2. Wijzigingsbeheer.

ISO 27001-toezichtaudits

De steekproeven van uw volgende toezichtaudit, klaar uit het werk zelf.

Een ISO 27001-certificaat wordt elk jaar opnieuw geaudit, en de auditor neemt een steekproef van wat er sinds het vorige bezoek is gebeurd. Toegangsreviews en wijzigingen horen bij de vastleggingen waar om wordt gevraagd. Voor wat via Opafra loopt, is de steekproef een opzoeking. Opafra is geen certificering en vervangt uw managementsysteem niet.

Fig. 1, vastlegging van de wijziging voor run #4f2a, revisie 7

Change record /Patch nginx across prod, run #4f2a

Sample

@alex → AIDry-run passedApproved by @danaAudited · #4f2a

Origin: Drafted by the AI composer for @alex
Targets: web-01, web-02, web-03 in prod
Dry run: 3 hosts, 12 changes, 0 destructive
Approved: Dana Okafor at 14:32:07, for revision 7 only
Outcome: Completed on 3 hosts, 4 steps

Diffweb-02

/etc/nginx/nginx.conf+3/−2

 --- a/etc/nginx/nginx.conf
 +++ b/etc/nginx/nginx.conf
 @@ -1,7 +1,7 @@
  user  www-data;
−worker_processes  4;
+worker_processes  auto;
  pid /run/nginx.pid;
 @@ -31,6 +31,7 @@
      ssl_prefer_server_ciphers on;
−    ssl_protocols TLSv1.2;
+    ssl_protocols TLSv1.3;
+    ssl_session_tickets off;

Wat dit is en niet is

Bewijs voor een artikel, geen oordeel.

De vastleggingen zijn bewijs voor de artikelen die ze beantwoorden. Ze zeggen niet dat een organisatie eraan voldoet, en welke regels voor uw organisatie gelden, is een vraag voor uw eigen adviseurs. Opafra legt vast wat er via Opafra loopt, dus werk op een server langs een andere weg staat er niet in.

Zie de vastleggingen voor uw eigen servers.

Vertel ons welke vragenlijsten en audits u beantwoordt. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.

Vraag een demo aan