Auditoria interna ISO/IEC 27001
Uma auditoria interna completa do seu SGSI em relação à ISO/IEC 27001:2022, seções 4 a 10 e os controles do Anexo A declarados na sua declaração de aplicabilidade.
Asseguração e avaliação independentes
Uma auditoria só vale alguma coisa se quem a conduz estiver disposta a lhe dizer o que você preferia não ouvir. Avaliamos o que você construiu, sustentamos cada conclusão com evidência e entregamos um relatório com o qual dá para trabalhar.
We get you ready to certify & show where you stand.
ZULTIV runs your internal audit, your readiness assessment and your third-party/supplier/ Independent assessment against the same standards we teach. You finish with the evidence pack, the corrective plan and the confidence to book the certification audit.
É a nossa independência que dá valor a esse julgamento. Não temos certificado para lhe vender nem implementação própria para defender, portanto nada é suavizado. Você recebe uma leitura honesta da sua situação antes que um organismo de certificação, um regulador ou um cliente formem a sua.
Scope note: ZULTIV is not an accredited certification body. Your accredited certificate is issued by the registrar you appoint. Our job is to help you enter that audit prepared, with evidence and findings addressed.
Categoria 01
Auditorias internas
Clause 9.2 requires an internal audit programme. While audits may be conducted by internal personnel, maintaining independence and objectivity is essential for an effective assessment.
Auditoria interna ISO 22301
Continuidade de negócios auditada em relação à ISO 22301: análise de impacto no negócio, objetivos de recuperação, estratégia de continuidade e se os exercícios realmente testam alguma coisa.
Auditoria interna ISO 9001
Auditoria do sistema de gestão da qualidade em relação à ISO 9001: interação de processos, pensamento baseado em risco e evidência de melhoria em vez de evidência de intenção.
Categoria 02
Prontidão e avaliação
Antes da auditoria de certificação, da análise de segurança de um cliente ou da pergunta do regulador: descubra qual será a resposta.
Prontidão HIPAA
Salvaguardas administrativas, físicas e técnicas confrontadas com as HIPAA Security e Privacy Rules, com um registro de lacunas que você pode ir fechando.
Prontidão SOC 2
Os Trust Services Criteria percorridos controle a controle, para que a análise da sua firma de auditoria não seja o momento em que você descobre que a evidência não existe.
Avaliação de risco e conformidade
Um olhar estruturado sobre o seu universo de risco e o seu ambiente de controle diante das obrigações que de fato se aplicam a você, incluindo a DPDP Act da Índia.
Avaliação de terceiros e fornecedores
Os seus fornecedores guardam os seus dados e a sua disponibilidade. Nós os avaliamos como deve ser, com base em evidência, e não em um questionário devolvido que ninguém leu.
Categoria 03
Atestação de conformidade
Quando um cliente, um investidor ou um regulador pede prova, uma atestação independente assinada responde à pergunta em um único documento.
Uma Atestação de conformidade (AOC) é uma declaração formal, emitida e assinada pela ZULTIV, confirmando que avaliamos os seus controles em relação a um framework específico em uma data específica e os encontramos implementados e eficazes.
É o documento que você entrega a uma equipe de segurança de cliente que não aceita um questionário de autoavaliação, e o documento que mantém um negócio andando quando a auditoria de certificação completa ainda está a meses de distância.
O que você recebe
Uma carta de atestação assinada, a declaração de escopo que a sustenta, o resumo dos testes de controles por trás dela e um registro de constatações de tudo o que precisou ser corrigido antes.
Quanto tempo leva
Normalmente de três a seis semanas da definição de escopo até a assinatura, conforme o tamanho do ambiente e a quantidade de evidência já existente.
Frameworks cobertos
ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 42001, ISO 22301, ISO 9001, HIPAA, SOC 2 criteria and India's DPDP Act, individually or combined.
Uma atestação de conformidade é a atestação independente da própria ZULTIV. Ela acompanha um certificado acreditado de sistema de gestão ISO emitido por um organismo de certificação, e não o substitui.
Como trabalhamos
O mesmo método, em cada trabalho
Não existem duas organizações iguais, mas a disciplina não muda. Cada avaliação que conduzimos segue os princípios de auditoria da ISO 19011: baseada em evidência, imparcial e relatada em uma linguagem que você pode levar a um conselho.
01: Escopo
Combinamos o que entra no escopo, o que fica deliberadamente de fora e como é o “bom” antes de testar qualquer coisa.
02: Teste
Documentos, entrevistas, evidência de sistemas e amostragem, o suficiente para sustentar uma conclusão que resista a um questionamento.
03: Relato
Constatações que mantêm separados o requisito, a evidência e a lacuna, cada uma classificada e cada uma rastreável.
04: Encerramento
Um caminho priorizado de correção e uma revisão de acompanhamento quando você puder mostrar que as lacunas foram fechadas.
O que você recebe
Entregáveis, não opiniões
Relatório de avaliação
Escopo, método, amostra e cada constatação com o seu rastro de evidência, escrito para que um terceiro consiga acompanhar o seu raciocínio sem você estar na sala.
Registro de lacunas e riscos
Cada lacuna ligada à seção ou ao critério que ela viola, classificada e ordenada pelo risco que você realmente assume, não pela facilidade de corrigir.
Roteiro de correção
Um plano em uma ordem que faz sentido, com responsáveis e esforço realista, mais um resumo executivo que a sua liderança vai ler até o fim.
Perguntas
Antes de nos contratar
Não. A certificação é emitida por um organismo de certificação acreditado, e a ZULTIV não é um. Nós preparamos você para esse organismo e auditamos você do jeito que ele vai auditar, e, separadamente, executamos o programa de auditoria interna que a norma exige que você tenha.
Não dentro do mesmo escopo, e dizemos isso de saída. Auditar a própria implementação destrói a independência que torna a auditoria valiosa. Onde assessoramos a implementação, recomendamos que a auditoria interna seja feita por outra parte, e vice-versa.
Depende inteiramente do escopo, do número de funcionários e de quantos locais ou sistemas estão envolvidos. Uma revisão de prontidão focada pode levar alguns dias; uma auditoria interna completa de um SGSI multissite leva mais tempo. Definimos o escopo antes de orçar, e esse escopo fica por escrito.
Sim, a maior parte das revisões documentais e muitas entrevistas funcionam bem remotamente. Controles físicos, segurança das instalações e tudo o que exige observação funcionam melhor no local, e diremos quais partes do seu escopo se enquadram aí.
Totalmente. Os trabalhos são conduzidos sob um acordo de confidencialidade assinado, as constatações são compartilhadas apenas com as pessoas que você indicar, e não usamos nomes de clientes como referência sem permissão por escrito.
Solicitar uma avaliação
Diga-nos o que precisa ser avaliado
Descreva o escopo com as suas palavras: um sistema, uma norma, o questionário de segurança de um cliente ou simplesmente um prazo que lhe deram. Nós dizemos o que seria necessário.