Interní audit ISO 27001, který systém zlepšuje

Interní audit dává organizaci příležitost zjistit, kde se její systém řízení bezpečnosti informací (ISMS) odchyluje od jejích záměrů. Užitečným výsledkem je podložené hodnocení a jasná cesta ke zlepšení u každého podstatného zjištění, nikoli jen složka snímků obrazovky připravená pro certifikaci.

Pro technického vedoucího je ústřední otázkou, zda systém funguje napříč skutečnými službami, lidmi a předáváním práce. Politika může být schválena, a přesto její implementace selhává. Audit by měl tento rozdíl odhalit, aniž by z každé provozní nedokonalosti dělal nepodložené zjištění o nesouladu.

Určete, co musí audit prokázat

ISO/IEC 27001 v kapitole 9.2 vyžaduje interní audity v plánovaných intervalech, které posuzují shodu s požadavky organizace na ISMS a s normou a zda je ISMS efektivně zaveden a udržován. Program auditů musí zohledňovat význam procesů a výsledky předchozích auditů a auditoři musí být vybráni tak, aby byla zajištěna objektivita a nestrannost.

Interní audit mohou provádět zaměstnanci nebo externí specialista najatý za tímto účelem. Nevydává certifikát: certifikace je samostatné posouzení nezávislým certifikačním orgánem. Interní audity zůstávají součástí provozu ISMS i po certifikaci, nejen přípravou na první posouzení.

ISO 27001 nepředepisuje univerzální roční četnost interních auditů. Jako praktické doporučení používejte zdokumentovaný harmonogram, který odráží riziko, změny a předchozí zjištění, s častější pozorností věnovanou nestabilním nebo kritickým procesům.

Dohodněte se na kritériích, hranicích a odpovědnostech

Jednotlivý audit nemusí zkoumat vše současně. Program by měl v rámci plánovaného cyklu zajistit pokrytí ISMS v daném rozsahu, místo aby opakovaně prověřoval jen známá opatření.

Před vyžádáním důkazů zdokumentujte tato rozhodnutí:

Příloha A nepožaduje, aby každé opatření bylo zavedeno stejně. Ověřte, zda jsou rozhodnutí o použitelnosti a vyloučení odůvodněná, a poté testujte závazky, které organizace skutečně přijala.

Vybírejte kompetentní auditory, kteří rozumějí požadavkům na systém řízení i zkoumaným opatřením. Zabraňte tomu, aby lidé auditovali vlastní práci. V malém vývojovém týmu může střety vyřešit externí auditor nebo posuzovatel z jiného útvaru, pokud má dostatečnou kompetenci a přístup k důkazům.

Důkazy budujte kolem provozních otázek

Začněte rozsahem, posouzením rizik, plánem zvládání rizik, prohlášením o aplikovatelnosti, politikami, předchozími zjištěními a relevantními provozními záznamy. Ty vysvětlují, co by se mělo dít a kde by selhání měla největší význam.

Poté formulujte testovatelné otázky. U privilegovaného přístupu se ptejte, zda schválení předchází přidělení přístupu, zda přezkumy pokrývají příslušnou populaci účtů a zda odebraná oprávnění skutečně zmizí. Podepsaná přístupová politika dokládá záměr; exporty účtů, záznamy o schválení a logy odebrání dokládají fungování.

Vytvořte plán vzorkování, který zahrnuje nedávné změny, kritické služby, dřívější slabiny a výjimky. Zaznamenejte populaci, metodu výběru, období a zdůvodnění. Praktické vzorkování nemusí používat jedinou pevnou velikost vzorku, musí však být vysvětlitelné. Hrstka pohodlně dostupných snímků obrazovky jen zřídka reprezentuje celé provozní období.

Záznamy ověřujte z více stran pomocí rozhovorů a pozorování. Pokud vlastníci popisují ruční předání, prověřte dokončená předání. Pokud důkazy odporují rozhovoru, prošetřete to, místo abyste si vybrali uklidňující verzi. Zaznamenejte omezení, když systém nedokáže poskytnout historické důkazy; nevyvozujte potichu minulý výkon z jeho současné konfigurace.

Projděte jedno opatření na modelovém příkladu

Ilustrativní předpoklady: SaaS firma audituje odchody zaměstnanců za tři měsíce. Její postup vyžaduje odebrání přístupů do okamžiku odchodu zaměstnance. Záznamy HR uvádějí 12 odchodů; auditor prověří všechny tři privilegované uživatele a čtyři další odchody z různých týmů.

Auditor porovná časová razítka odchodů z HR s událostmi u poskytovatele identit, stavem aplikačních účtů a tikety k ukončení spolupráce. Účet bývalého inženýra u poskytovatele identit byl deaktivován včas, samostatně spravovaný účet v repozitáři však zůstal aktivní ještě dva dny.

Před ohodnocením zjištění zjistěte, zda se účet mohl autentizovat, jaká oprávnění zůstala a zda existovala schválená výjimka. Proveďte rozhovor s HR a vlastníkem aplikace, abyste porozuměli předání. Pokud se opomenutí jeví jako systémové, rozšiřte testování na další odchody zahrnující samostatně spravované aplikace.

Obhajitelné zjištění uvádí porušený postup, zjištěný stav, podpůrné záznamy, dotčený rozsah a možný důsledek. Nemělo by tvrdit, že došlo k neoprávněnému přístupu, pokud tento závěr důkazy nepodporují.

Oddělte zjištění od předpokladů

Neshoda vyžaduje důkaz, že požadavek nebyl splněn. Příležitost ke zlepšení identifikuje užitečné vylepšení, aniž by prokazovala porušení. Nevyřešená otázka zůstává otevřená, dokud závěr nepodpoří dostatečné důkazy.

Používejte konzistentní klasifikace a zjištění prioritizujte podle expozice, opakování a rozsahu. Nedovolte, aby označení závažnosti nahradilo zdůvodnění. Dejte vlastníkům procesů příležitost opravit faktické chyby, odpovědnost za závěr však ponechte auditorovi.

Zpráva by měla uvádět rozsah, kritéria, metody, omezení, zjištění a celkové hodnocení podložené provedenou prací.

Ať jsou nápravná opatření víc než uzavření

Akční plán by měl určit vlastníka, termín, okamžitou opravu, hlavní příčinu a změnu, která má zabránit opakování. Odebrání účtu v repozitáři opravuje daný případ. Doplnění neúplného inventáře aplikací a předání mezi HR a IT řeší proces.

Nepřijímejte „lidskou chybu“ jako úplnou hlavní příčinu, pokud pracovní postup závisí na paměti nebo postrádá vlastnictví. Před uzavřením opatření definujte kritéria účinnosti: například následné odchody musí zahrnovat porovnané kontroly vůči příslušnému inventáři aplikací.

Dokončený tiket dokládá provedení, nikoli nutně účinnost. Po zavedení prověřte další vzorek a uchovejte výsledek ověření. Pokud se stejné selhání zopakuje, opatření znovu otevřete.

Výsledky promítněte do řízení i do každodenní práce

Opakující se slabiny, úkoly po termínu, potřeby zdrojů a významná rozhodnutí o rizicích hlaste příslušnému vedení. Výsledky interního auditu jsou podle ISO 27001 vstupem do přezkoumání vedením; přezkoumání je samostatná činnost s dalšími požadovanými vstupy, nikoli jen schůzka ke schválení auditní zprávy.

Secani propojuje požadavky, důkazy, vlastníky, úkoly a rozhodnutí z přezkumů, takže hodnocení i navazující kroky zůstávají v kontextu. Podpůrné záznamy ponechte připojené k relevantním opatřením a zachovejte lidské schválení závěrů o důkazech. K uspořádání těchto záznamů před vlastním auditem použijte našeho průvodce připraveností na audit.

Praktickým dalším krokem je vybrat jeden kritický proces, jmenovat nestranného auditora a sepsat kritéria a plán vzorkování. Ověření účinnosti naplánujte už při přidělování nápravných opatření, ne až poté, co je všichni považují za hotová.