De ISO 27001:2013 Interne audit: vereenvoudigd

Wat is het doel van de Interne audit voor ISO 27001?

Het doel van de interne audit in paragraaf 9 van de managementvereisten voor ISO 27001:2013 is prestatie-evaluatie. Paragraaf 9.2 stelt dat de organisatie interne audits met geplande tussenpozen moet uitvoeren om informatie te verschaffen over de vraag of het informatiebeveiligingsmanagementsysteem :

1) voldoet aan

1.1) de eigen eisen van de organisatie aan haar managementsysteem voor informatiebeveiliging; En

1.2) de eisen van deze internationale norm;

2) effectief wordt geïmplementeerd en onderhouden

3) een auditprogramma plannen, implementeren en onderhouden

4) definieer de auditcriteria en reikwijdte voor elke audit

5) selecteer auditors die objectief en onpartijdig zijn

6) ervoor zorgen dat audits worden gerapporteerd aan het relevante management

7) Bewaar de gedocumenteerde informatie als bewijs.

Samenvattend is de interne audit een van de initiatieven die aantoont dat uw ISMS betrouwbaar is en naar behoren functioneert.

De ISO 27001-norm moedigt u aan om een ​​ISMS (Information Security Management System) te gebruiken dat aansluit bij uw bedrijfsdoelstellingen, reikwijdte, interne en externe vraagstukken, enzovoort. Daarom is het ook belangrijk dat interne audits worden uitgevoerd op een manier die past bij uw bedrijf en de bijbehorende risico's, rekening houdend met de bedrijfscultuur en de beschikbare middelen.

Waar en wat moet u controleren in uw Information Security Management System?

Om het echt te laten slagen, moeten uw auditprogramma en -filosofie gebaseerd zijn op de problemen en de reikwijdte (bijvoorbeeld locaties, afdelingen, processen, producten, enz.), in combinatie met de toepassingsverklaring , risico's, enzovoort, en niet slechts op een afvinklijstje. U moet echter wel aantonen dat u ten minste één keer tijdens de driejarige ISO 27001-certificeringscyclus een audit hebt uitgevoerd volgens de volledige norm – de managementvereisten en de beheersmaatregelen in Bijlage A – en dat u voorbeelden kunt leveren van beheersmaatregelen die aan uw eisen voldoen.

We hebben die aanpak verder uitgewerkt in het standaard auditprogramma van ISMS.online om ervoor te zorgen dat audits aansluiten bij de behoeften van de organisatie. Wij zijn van mening dat audits bedrijfsgedreven en 'realistisch' moeten zijn, zodat mensen ze als een waardevolle investering beschouwen en de audit betekenisvol maken.

Hoe te auditeren op 3 pragmatische en eenvoudige niveaus

Niveau 1 – Toetsing van beleid in lijn met A.5.1.2 en A.8.1.2 voor onafhankelijke toetsingen

Dit niveau betreft een eenvoudige evaluatie van hoe u uw beleid en beheersmaatregelen 'beschrijft' en ervoor zorgt dat deze relevant blijven voor de organisatie, gezien punt 4.1-3 en in lijn met de bovengenoemde kwesties, partijen, reikwijdte, informatieactiva, risico's, enz.

In ISMS.online hebben we het beleid voor A.5.1.2 opgenomen en het platform daarmee in gedachten ontwikkeld, zodat u ons beleid eenvoudig kunt overnemen en in de praktijk kunt toepassen.

Dit is duidelijk geen interne audit in de zin van paragraaf 9.2 , maar het is wel een belangrijk onderdeel van uw ISMS -beheer, samen met andere aspecten zoals managementreviews, incidentregistratie, enz. Het helpt ervoor te zorgen dat u bij uw formele interne audit een solide set beleidsregels en controles uitvoert die geschikt zijn voor uw organisatie.

Niveau 2 – intern auditplan dat de vereisten en controles omvat

Dit is de vereiste, meer traditionele aanpak en zal minimaal in de loop van de certificeringscyclus moeten worden uitgevoerd. Het kan de moeite waard zijn om dit jaarlijks af te handelen.

Ons auditproject kan worden gebruikt om de doelstellingen en de reikwijdte van elke audit vast te stellen en uw bevindingen te registreren. Eventuele geconstateerde afwijkingen kunnen vervolgens worden aangepakt in het verbeteringstraject.

Voor organisaties die een driejarig auditprogramma van alle controles willen volgen, hebben we ook een raamwerk opgenomen in ISMS.online.

Niveau 3 – een holistische benadering om de effectiviteit aan te tonen

We stimuleren ook een meer holistische benadering van interne audits en hebben in het platform een ​​programma ontwikkeld dat zich richt op het 'aantonen' dat een specifiek onderdeel van uw ISMS-scope voldoet aan de eisen, bijvoorbeeld een afdeling, een locatie, een product, een systeem of een proces.

Dit geeft je de mogelijkheid om te kijken hoe het bedrijf in de praktijk werkt, los van informatiebeveiliging op zich, en om verbeterpunten te ontdekken of risico's bloot te leggen die vanuit een controleperspectief wellicht niet direct zichtbaar zijn.

Dit stelt een organisatie ook in staat om in één keer een groter aantal controles op een samenhangende manier te auditeren.

In onze virtuele ISO 27001-coach vindt u een voorbeeld om u een idee te geven van wat u zou kunnen doen om te illustreren dat een deel van uw ISMS- scope goed functioneert en de doelstellingen behaalt, en dat de beheersmaatregelen wel (of niet) werken.

Hoe u het ISO 27001-auditprogramma kunt plannen

Als je een snel veranderende organisatie bent, is het niet eenvoudig om drie jaar van tevoren een auditplan op te stellen voor de hele certificeringsperiode. Als dit het geval is, moet u overwegen welke reikwijdtegebieden moeten worden gecontroleerd en een plan voor twaalf maanden opstellen om aan de verwachtingen van een externe auditor te voldoen.

Maak dan duidelijk dat u managementreviews zult uitvoeren in lijn met paragraaf 9.3 , die mogelijk tot wijzigingen in dat schema kunnen leiden. Dat is immers een onderdeel van paragraaf 9.3: proactief zijn en reageren op nieuwe informatie die van invloed is op het ISMS.

Als u besluit het auditschema te wijzigen, bijvoorbeeld vanwege een aanleiding die dit rechtvaardigt, kunt u het auditschema eenvoudigweg verplaatsen en een toelichting toevoegen aan uw relevante managementrapportage om de wijzigingen te motiveren.

Welke controleaanpak u ook kiest, wees bereid om de effectiviteit ervan tegenover een externe auditor te rechtvaardigen, aan te tonen en te verdedigen.

Hoeveel details moet u opnemen in een ISO 27001-audit?

Wanneer u besluit hoe diep u moet gaan met uw auditoefening, overweeg dan het volgende: Beschikt u over voldoende informatie om aan te kunnen tonen dat u de audit heeft uitgevoerd, van de oefening heeft geleerd, deze heeft gedocumenteerd en eventuele vervolgacties heeft ondernomen?

Vanuit ons eigen culturele perspectief gaat dit ook over kernachtig, papierloos en digitaal zijn, en is het erop gericht ervoor te zorgen dat we de klus goed klaren – succes vieren, leren en verbeteren, en risico's verminderen zonder verwikkeld te raken in bureaucratie of het invullen van formulieren. ervan.

Iedereen met wie we spraken (voordat we ISMS.online bouwden) had zijn eigen manier van auditeren. We hebben een aantal zeer lange auditrapporten gezien die zelden worden gelezen door het juiste publiek, dat in werkelijkheid alleen maar een samenvatting wil. Voor ons gaat het dus om het bewijzen, leren, actie ondernemen en eventuele verbeteringen in de praktijk brengen, in overeenstemming met de ernst van de dreiging of de waarde van de kans in relatie tot de andere zakelijke prioriteiten.

In ISMS.online kunt u dat doen binnen de auditactiviteit zelf, of de verbeteringswerkzaamheden koppelen aan ons overzicht van corrigerende acties en verbeteringen, zodat alle corrigerende acties en verbeteringen, en niet alleen die uit een audit, op elkaar worden afgestemd.

Wat zegt de ISO over audits en auditing voor ISO 27001?

Naast de eisen in ISO 27001 9.2 biedt de Internationale Organisatie voor Standaardisatie (ISO) de volgende normen die relevant zijn voor audits:

• ISO 27007 – Biedt richtlijnen voor het auditen van de managementsysteem(vereisten)-elementen van uw ISMS en maakt sterk gebruik van ISO 19011 (zie hieronder) met de toegevoegde lens van specifieke informatie met betrekking tot het auditen van een ISMS.
• ISO TR 27008 – Een technisch rapport (in plaats van standaard) dat richtlijnen biedt voor het auditen van de controles op informatiebeveiliging beheerd door uw ISMS.
• ISO 19011 – geeft richtlijnen voor auditing management systemen, inclusief de principes van auditing, het beheren van een auditprogramma en het uitvoeren ervan beheersysteem audits, evenals begeleiding bij de evaluatie van de competentie van personen die betrokken zijn bij het auditproces, inclusief de persoon die het auditprogramma beheert, auditors en auditteams.
• ISO 27006 & ISO 17021 – Deze zijn bedoeld voor de certificatie-instellingen die de externe audits uitvoeren. Hoewel ze een nuttige referentie kunnen zijn om te begrijpen waar de certificeringsinstanties naar op zoek zijn, is uw interne audit zal heel anders zijn, met een ander doel, en u moet niet op precies dezelfde manier naar audits streven.

Een terugkerend thema dat we horen, is dat auditors willen zien dat de organisatie het ISMS volledig toepast. Dit omvat betrokkenheid van het management, proactieve weergave van de activiteiten in ISMS.online en de mogelijkheid om snel en met bewijsmateriaal hun specifieke vragen te beantwoorden.

Een structuur die de methoden en labeling van ISO 27001 :2013 volgt, zoals in ISMS.online, maakt het voor auditors ook gemakkelijk om de procedures in hun eigen 'taal' te volgen. Ze kunnen versie-wijzigingen, tijdstempels van werkzaamheden, samenwerkingen, goedkeuringen door onafhankelijke teamleden enzovoort inzien, waardoor het een grote hulp is bij de bovengenoemde tests.

Vanzelfsprekend zult u nog steeds moeten aantonen dat het beleid in de praktijk buiten ISMS.online wordt nageleefd. Er wordt bijvoorbeeld een back-up gemaakt van informatie uit uw systemen, er worden vertrouwelijkheidsovereenkomsten met klanten en leveranciers gehouden, enz. (en u kunt ISMS.online natuurlijk ook gebruiken om de leverancier te laten zien ook afspraken!)

Moet u een lead auditor-cursus volgen om te helpen met ISO 27001?

Als u overweegt om een ​​lead auditor-cursus te volgen, is het de moeite waard om te bedenken dat wanneer u wordt opgeleid door iemand wiens fulltimebaan auditing is, deze zich richt op training om vanuit een extern perspectief te auditeren. Dit kan buiten de vereisten van uw organisatie vallen om te voldoen aan 9.2 en kan ertoe leiden dat u uit het oog verliest wat de bredere bedrijfsdoelstellingen zijn.

Je moet voldoende goed kunnen auditeren om aan je leidinggevenden en belanghebbenden (zoals auditors) aan te tonen dat de interne audit volgens artikel 9.2 effectief is als onderdeel van je prestatiebeoordeling en in de praktijk werkt.

In ISMS.online hebben we een proces voor auditing voorgesteld in Sect. 9.2, en gegeven de ruimte om het te leveren die gemakkelijk genoeg is om over te nemen of aan te passen aan uw stijl en behoeften, en met de beperkingen van de interne middelen in gedachten. We hebben ook een pragmatisch voorbeeld opgenomen in de ISO 27001 Virtual Coach.

Veel klanten definiëren hun aanpak echter eenvoudig met behulp van ISMS.online en krijgen vervolgens een eenvoudige virtuele gezondheidscontrole, samen met advies en zelfs pragmatische doorlopende auditondersteuning, met onze gekwalificeerde Lead Auditor.

ISMS.online maakt het opzetten van het juiste auditprogramma eenvoudig voor u, door onze kant-en-klare programma's over te nemen of door snel en eenvoudig uw eigen programma's te maken.

Wij helpen u uw audits effectiever te beheren en deze te integreren met een holistische benadering van het bredere geheel ISMS.