Wykonanie analizy zgodności organizacji z wymaganiami Urzędu Komisji Nadzoru Finansowego dotyczącymi przetwarzania przez podmioty nadzorowane informacji w chmurze

Zakres prac

W ramach analizy zostaną przeprowadzone następujące czynności: 

  • weryfikacja procesu oceny oraz klasyfikacji danych przetwarzanych w chmurze obliczeniowej,
  • weryfikacja procesu sposób zarządzania ryzykiem w obszarze chmury obliczeniowej,
  • sposób zarządzania dostawcą chmury obliczeniowe,
  • analiza umów z dostawcą chmury obliczeniowej,
  • weryfikacja sposobu monitorowania przetwarzania informacji w rozwiązaniach opartych o chmurę obliczeniową,
  • analiza architektury IT wykorzystywanej w rozwiązaniach opartych o chmurę obliczeniową,
  • weryfikacja konfiguracji rozwiązań opartych o chmurę w kontekście zapewnienia odpowiedniego poziomu bezpieczeństwa, m.in.:
    • proces nadawania uprawnień,
    • sposób dostępu do rozwiązań opartych o chmurę publiczną (uwzględniając m.in. dostęp z poziomu aplikacji mobilnych),
    • aktualizacja komponentów / zarządzanie cyklem życia oprogramowania,
    • kryptografia,
    • zapewnienie wysokiej dostępności rozwiązań opartych o chmurę obliczeniową.
  • analiza procesów ITIL w obszarze chmury obliczeniowej:
    • Change Management,
    • Incident / Security Incident Management,
    • Problem Management,
    • Release Management,
    • Configuration Management,
    • Request Fullfilment.

 

Weryfikacją objęte zostaną następujące rozwiązania chmurowe: Microsoft Azure oraz Microsoft Office 365.

Produkt analizy

Produktem analizy będzie raport zawierający: 

  • szczegółową analizę luk uwzględniającą wymagania UKNF vs. stan obecny,
  • rekomendacje, których wdrożenie umożliwi spełnienie wymagań wynikających z komunikatu UKNF,
  • podsumowanie.

Sposób i czas realizacji prac 

Analiza będzie wykonywana na podstawie: 

  • weryfikacji dokumentacji dostarczonej przez firmę oraz w szczególnych przypadkach w postaci ankiety lub odpowiedzi na pytania przekazane elektronicznym kanałem komunikacji,
  • rozmów i wywiadów z wyznaczonymi pracownikami firmy.