文档里有吗？
- 可用政策
- 程序定义
- 勾选标记
- 证据已添加至文件
检查表并不能告诉您是否真正安全。
定义政策、程序和控制只是一个开始。问题是它们是否能够在技术环境中持续、持续地工作。
ETC
它真的有效吗？
- 权力真的正确吗？
- 技术上可以绕过吗？
- 日志是否充足且可追溯？
- 云配置是否符合策略？
- 控制装置是否持续工作？
从介绍到永久安全。
我们准确定义需求，在技术和治理层面对其进行评估，并将结果转化为行动。
我们见面吧
让我们一起确定您的 IT 审核、ISO 27001 准备、控制评估或持续控制需求和授权范围。
让我们检查一下
让我们根据需要检查 IAM、Active Directory、云、网络安全、日志记录、漏洞、备份、数据、端点、第三方、变更和连续性领域。
来报道一下
让我们将每个发现与风险、技术证据、影响、根本原因、优先级、行动负责人和目标日期联系起来。让我们一起介绍执行摘要和技术细节。
保持兼容
让我们定期重新评估未结束的发现、新的授权、更改的配置、新的云资源和控制错误。
审计不是相框， 这是一个持续的过程。
适合您风险的评估深度。
信息技术审计
在授权范围内对技术和治理控制进行端到端评估。
ISO/IEC 27001 合规准备
现状、差距评估、ISMS控制评估和认证前准备。
技术网络安全评估
配置、安全控制和技术风险的评估。
GRC与控制
评估风险、控制设计、控制有效性和治理成熟度。
连续控制
通过每月或定期测试来监控控制水平和改进措施。
专项审计
对特定技术、流程或风险领域的深入研究。
不是控制的存在，
有效与否很重要。
评论不是攻击或未经授权的访问活动；在双方确定和授权的范围内进行。
清单
“有密码政策吗？”
技术评估
除了策略之外，身份验证结构、特权访问、技术配置和相关控制证据如何发挥作用？
清单
“有敏感数据政策吗？”
技术评估
实际的数据流、访问、存储区域和适用的技术控制是否符合政策？
清单
“有云安全策略吗？”
技术评估
云配置、IAM、日志记录、开放性和关键安全控制是否已正确实施？
中国 · 当地法律框架网络安全已成为管理层的责任。
网络安全已成为管理层的责任。
在中国，网络安全和数据保护义务取决于主体、业务与适用范围。
不同法域的法律要求各不相同。适用范围内的组织应识别义务、记录风险、测试控制并保存证据。以下内容依据所选国家或法域显示。
网络安全法 • 2025年修正
已生效 · 2026-01-01规范网络安全保障、网络运行和相关法律责任。
业务影响
识别网络运营者义务，落实安全保护、事件响应和证据管理。
此处日期对应2025年修正决定的施行日期。适用义务取决于主体、业务和关键信息基础设施认定，不能将全部要求一概适用于所有企业。
最后核实日期:数据安全法
已生效 · 2021-09-01规定数据处理活动的安全管理、分类分级保护和相关责任。
业务影响
建立数据分类、风险评估和安全管理制度，识别重要数据相关要求。
具体义务取决于数据类别、行业规则和处理活动，跨境提供数据应另行核实适用规定。
最后核实日期:网络数据安全管理条例
已生效 · 2025-01-01细化网络数据处理、个人信息和重要数据保护要求。
业务影响
将数据安全管理和网络安全等级保护要求纳入控制体系。
条例与网络安全法、数据安全法和个人信息保护法配套适用。MLPS 2.0的具体标准、定级和测评要求需按系统和行业确认，不能视为单独统一适用的法律。
最后核实日期:个人信息保护法 • PIPL
已生效 · 2021-11-01规范个人信息处理活动，保护个人信息权益。
业务影响
记录处理依据、个人权利、安全措施和委托处理安排。
适用范围包括法定条件下的境外处理活动。跨境、敏感个人信息和影响评估要求应结合具体场景确认。
最后核实日期:MLPS 2.0 • 等级保护技术基线
标准与指南 已发布指南 · 2019-12-01网络安全等级保护的推荐性国家技术标准，官方标准平台列为现行。
业务影响
按系统定级和适用法规选择安全管理与技术控制，并保留测评证据。
GB/T标准与网络安全法规定的等级保护义务应区分。具体定级、备案、测评和行业要求取决于系统情况；本标准不是一部独立的法律。
最后核实日期:仅供一般参考。请按组织核实适用范围、行业、门槛和过渡条款。以官方文本为准。
国家选择仅改变显示的法律信息，不改变合同适用法律或服务提供者的隐私文件。
查看法律框架详情 →
了解执行检查的人员沃尔坎·居勒
沃尔坎·居勒
中钢协、中钢协
有足够的商业视角向董事会解释。可以深入到系统级别的技术视角。
在比尔肯特大学和萨班哲大学接受教育后，他在鲁汶大学跟随 Bart Preneel 进行学术研究。他曾参与土耳其两家大型银行的 IT 审计流程；他在欧洲、美国和亚洲获得了技术审核、风险和二级控制经验。
他曾在银行、金融、科技、国防工业和100多家中小企业的控制环境中工作过。他将自己的经验转化为一种可以将 ISO 27001、IAM、数据安全、第三方风险和技术控制结合在一起的方法。
CISACISMISO 27001信息技术审计我是数据安全技术风险
正因为你的机构小，你的风险也不小。
中小企业SaaS公司科技公司金融科技电子商务处理数据的企业准备 ISO 27001 的机构准备投资或客户审核的人制度化的初创企业
根据需要开始，
根据成熟度进行。
GRC Ustası评估
- 范围界定
- 技术+GRC评估
- 调查结果报告
- 执行摘要
- 改进路线图
ISO 27001 准备情况
- 差距评估
- ISMS 准备情况评估
- 技术检查
- 不足分析
- 认证前准备
持续保证
- 定期控制测试
- 发现和风险变更跟踪
- 技术控制审查
- 管理报告
- 持续改进
GRC 大师合作伙伴计划01 02
让我们共同建立信任。
您所在地区是否有我们可以合作的中小企业、科技公司或其他企业？我们对客户开发和专业项目合作持开放态度。
销售合作伙伴
对于您转化为合同的客户，他们受销售合同的约束，具体取决于协议的结构。 高达 50% 佣金机会。
专业协作
如果您有 GRC、IT 审计、控制、ISO 27001 或网络安全经验，就有机会在项目上合作。