Ένας εσωτερικός έλεγχος ISO 27001 που βελτιώνει το σύστημα

Ένας εσωτερικός έλεγχος δίνει στον οργανισμό την ευκαιρία να ανακαλύψει πού το σύστημα διαχείρισης ασφάλειας πληροφοριών (ΣΔΑΠ) αποκλίνει από τις προθέσεις του. Το χρήσιμο αποτέλεσμα είναι μια τεκμηριωμένη αξιολόγηση και μια σαφής πορεία βελτίωσης για κάθε ουσιώδες εύρημα, όχι απλώς ένας φάκελος με στιγμιότυπα οθόνης που ετοιμάστηκαν για την πιστοποίηση.

Για έναν τεχνικό επικεφαλής, το κεντρικό ερώτημα είναι αν το σύστημα λειτουργεί σε πραγματικές υπηρεσίες, ανθρώπους και σημεία παράδοσης. Μια πολιτική μπορεί να έχει εγκριθεί ενώ η εφαρμογή της αποτυγχάνει. Ένας έλεγχος πρέπει να αναδεικνύει αυτή τη διαφορά χωρίς να μετατρέπει κάθε λειτουργική ατέλεια σε αστήρικτο εύρημα συμμόρφωσης.

Προσδιορίστε τι πρέπει να αποδείξει ο έλεγχος

Το ISO/IEC 27001, στη ρήτρα 9.2, απαιτεί εσωτερικούς ελέγχους σε προγραμματισμένα διαστήματα για να αξιολογείται η συμμόρφωση με τις απαιτήσεις του ΣΔΑΠ του οργανισμού και με το πρότυπο, καθώς και το αν το ΣΔΑΠ εφαρμόζεται και διατηρείται αποτελεσματικά. Το πρόγραμμα ελέγχων πρέπει να λαμβάνει υπόψη τη σημασία των διαδικασιών και τα αποτελέσματα προηγούμενων ελέγχων, ενώ οι ελεγκτές επιλέγονται έτσι ώστε να διασφαλίζεται η αντικειμενικότητα και η αμεροληψία.

Ένας εσωτερικός έλεγχος μπορεί να διενεργείται από εργαζόμενους ή από εξωτερικό ειδικό που προσλαμβάνεται για τον σκοπό αυτό. Δεν εκδίδει πιστοποιητικό: η πιστοποίηση είναι ξεχωριστή αξιολόγηση από ανεξάρτητο φορέα πιστοποίησης. Οι εσωτερικοί έλεγχοι παραμένουν μέρος της λειτουργίας του ΣΔΑΠ μετά την πιστοποίηση, όχι μόνο προετοιμασία για την αρχική αξιολόγηση.

Το ISO 27001 δεν προβλέπει καθολική ετήσια συχνότητα εσωτερικών ελέγχων. Ως πρακτική σύσταση, χρησιμοποιήστε ένα τεκμηριωμένο χρονοδιάγραμμα που αντανακλά τον κίνδυνο, τις αλλαγές και τα προηγούμενα ευρήματα, με συχνότερη προσοχή στις ασταθείς ή κρίσιμες διαδικασίες.

Συμφωνήστε κριτήρια, όρια και αρμοδιότητες

Ένας μεμονωμένος έλεγχος δεν χρειάζεται να εξετάζει τα πάντα ταυτόχρονα. Το πρόγραμμα πρέπει να παρέχει κάλυψη του ΣΔΑΠ εντός πεδίου κατά τον προγραμματισμένο κύκλο του, αντί να επιθεωρεί επανειλημμένα μόνο τους οικείους ελέγχους.

Τεκμηριώστε αυτές τις αποφάσεις πριν ζητήσετε τεκμήρια:

Το Παράρτημα Α δεν αποτελεί απαίτηση να εφαρμόζεται κάθε έλεγχος με τον ίδιο τρόπο. Ελέγξτε αν οι αποφάσεις εφαρμοσιμότητας και οι εξαιρέσεις είναι αιτιολογημένες και στη συνέχεια δοκιμάστε τις δεσμεύσεις που έχει πράγματι αναλάβει ο οργανισμός.

Επιλέξτε ικανούς ελεγκτές που κατανοούν τόσο τις απαιτήσεις του συστήματος διαχείρισης όσο και τους ελέγχους που εξετάζονται. Αποφύγετε να ελέγχουν πρόσωπα τη δική τους εργασία. Σε μια μικρή ομάδα μηχανικής, ένας εξωτερικός ελεγκτής ή ένας διαλειτουργικός αξιολογητής μπορεί να επιλύσει τις συγκρούσεις, εφόσον διαθέτει επαρκή ικανότητα και πρόσβαση στα τεκμήρια.

Δομήστε τα τεκμήρια γύρω από λειτουργικά ερωτήματα

Ξεκινήστε από το πεδίο εφαρμογής, την εκτίμηση κινδύνου, το σχέδιο αντιμετώπισης, τη Δήλωση Εφαρμοσιμότητας, τις πολιτικές, τα προηγούμενα ευρήματα και τα σχετικά λειτουργικά αρχεία. Αυτά εξηγούν τι πρέπει να συμβαίνει και πού οι αστοχίες θα είχαν τη μεγαλύτερη σημασία.

Στη συνέχεια, διατυπώστε ερωτήματα που μπορούν να ελεγχθούν. Για την προνομιακή πρόσβαση, ρωτήστε αν οι εγκρίσεις προηγούνται της πρόσβασης, αν οι επανεξετάσεις καλύπτουν τον σχετικό πληθυσμό λογαριασμών και αν τα δικαιώματα που ανακλήθηκαν εξαφανίζονται πράγματι. Μια υπογεγραμμένη πολιτική πρόσβασης αποδεικνύει την πρόθεση· οι εξαγωγές λογαριασμών, τα αρχεία εγκρίσεων και τα αρχεία καταγραφής αφαιρέσεων αποδεικνύουν τη λειτουργία.

Καταρτίστε ένα σχέδιο δειγματοληψίας που περιλαμβάνει πρόσφατες αλλαγές, κρίσιμες υπηρεσίες, προηγούμενες αδυναμίες και εξαιρέσεις. Καταγράψτε τον πληθυσμό, τη μέθοδο επιλογής, την περίοδο και την αιτιολόγηση. Η πρακτική δειγματοληψία δεν χρειάζεται να χρησιμοποιεί ένα ενιαίο σταθερό μέγεθος δείγματος, αλλά πρέπει να μπορεί να εξηγηθεί. Λίγα βολικά στιγμιότυπα οθόνης σπάνια αντιπροσωπεύουν μια ολόκληρη περίοδο λειτουργίας.

Διασταυρώστε τα αρχεία με συνεντεύξεις και παρατήρηση. Αν οι υπεύθυνοι περιγράφουν μια χειροκίνητη παράδοση, επιθεωρήστε ολοκληρωμένες παραδόσεις. Αν τα τεκμήρια έρχονται σε αντίθεση με μια συνέντευξη, διερευνήστε αντί να επιλέγετε την πιο καθησυχαστική εκδοχή. Καταγράψτε τους περιορισμούς όταν ένα σύστημα δεν μπορεί να παράσχει ιστορικά τεκμήρια· μη συμπεραίνετε σιωπηρά την προηγούμενη απόδοση από την τρέχουσα διαμόρφωσή του.

Παρακολουθήστε έναν έλεγχο μέσα από ένα παράδειγμα

Ενδεικτικές υποθέσεις: μια εταιρεία SaaS ελέγχει τις αποχωρήσεις εργαζομένων σε διάστημα τριών μηνών. Η διαδικασία της απαιτεί αφαίρεση της πρόσβασης έως τη στιγμή της αποχώρησης του εργαζομένου. Τα αρχεία ανθρώπινου δυναμικού δείχνουν 12 αποχωρήσεις· ο ελεγκτής εξετάζει και τους τρεις προνομιούχους χρήστες και τέσσερις επιπλέον αποχωρήσεις από διαφορετικές ομάδες.

Ο ελεγκτής συγκρίνει τις χρονοσφραγίδες αποχώρησης του ανθρώπινου δυναμικού με τα συμβάντα του παρόχου ταυτοτήτων, την κατάσταση των λογαριασμών στις εφαρμογές και τα αιτήματα αποχώρησης. Ο λογαριασμός ενός πρώην μηχανικού στον πάροχο ταυτοτήτων απενεργοποιήθηκε εγκαίρως, αλλά ένας χωριστά διαχειριζόμενος λογαριασμός στο αποθετήριο κώδικα παρέμεινε ενεργός για δύο ημέρες.

Πριν βαθμολογήσετε το εύρημα, προσδιορίστε αν ο λογαριασμός μπορούσε να αυθεντικοποιηθεί, ποια δικαιώματα παρέμεναν και αν υπήρχε εγκεκριμένη εξαίρεση. Πάρτε συνέντευξη από το ανθρώπινο δυναμικό και τον υπεύθυνο της εφαρμογής για να κατανοήσετε την παράδοση. Επεκτείνετε τις δοκιμές σε άλλες αποχωρήσεις που αφορούν χωριστά διαχειριζόμενες εφαρμογές, αν η παράλειψη φαίνεται συστηματική.

Ένα τεκμηριωμένο εύρημα προσδιορίζει τη διαδικασία που παραβιάστηκε, την κατάσταση που παρατηρήθηκε, τα υποστηρικτικά αρχεία, το επηρεαζόμενο πεδίο και την πιθανή συνέπεια. Δεν πρέπει να ισχυρίζεται ότι σημειώθηκε μη εξουσιοδοτημένη πρόσβαση, εκτός αν τα τεκμήρια στηρίζουν αυτό το συμπέρασμα.

Διαχωρίστε τα ευρήματα από τις υποθέσεις

Μια μη συμμόρφωση απαιτεί τεκμήρια ότι μια απαίτηση δεν εκπληρώθηκε. Μια ευκαιρία βελτίωσης προσδιορίζει μια χρήσιμη βελτίωση χωρίς να αποδεικνύει παράβαση. Ένα ανεπίλυτο ερώτημα παραμένει ανοιχτό έως ότου επαρκή τεκμήρια στηρίξουν ένα συμπέρασμα.

Χρησιμοποιήστε συνεπείς κατηγοριοποιήσεις και ιεραρχήστε τα ευρήματα με βάση την έκθεση, την επανάληψη και το εύρος. Μην αφήνετε μια ετικέτα σοβαρότητας να αντικαταστήσει το σκεπτικό. Δώστε στους υπευθύνους διαδικασιών την ευκαιρία να διορθώσουν πραγματικά σφάλματα, διατηρώντας την ευθύνη του ελεγκτή για το συμπέρασμα.

Η έκθεση πρέπει να αναφέρει το πεδίο, τα κριτήρια, τις μεθόδους, τους περιορισμούς, τα ευρήματα και τη συνολική αξιολόγηση που στηρίζεται από την εργασία που διενεργήθηκε.

Κάντε τη διορθωτική ενέργεια κάτι περισσότερο από κλείσιμο

Ένα σχέδιο δράσης πρέπει να προσδιορίζει υπεύθυνο, προθεσμία, άμεση διόρθωση, βασική αιτία και την αλλαγή που αποσκοπεί στην αποτροπή της επανάληψης. Η αφαίρεση του λογαριασμού στο αποθετήριο διορθώνει τη συγκεκριμένη περίπτωση. Η διόρθωση της ελλιπούς απογραφής εφαρμογών και της παράδοσης από το ανθρώπινο δυναμικό στο IT αντιμετωπίζει τη διαδικασία.

Αποφύγετε να δέχεστε το «ανθρώπινο λάθος» ως πλήρη βασική αιτία όταν η ροή εργασίας εξαρτάται από τη μνήμη ή δεν έχει υπεύθυνο. Ορίστε κριτήρια αποτελεσματικότητας πριν κλείσετε την ενέργεια: για παράδειγμα, οι επόμενες αποχωρήσεις πρέπει να περιλαμβάνουν ελέγχους συμφωνίας με τη σχετική απογραφή εφαρμογών.

Ένα ολοκληρωμένο αίτημα αποδεικνύει την εκτέλεση, όχι απαραίτητα την αποτελεσματικότητα. Μετά την υλοποίηση, επιθεωρήστε ένα ακόμη δείγμα και διατηρήστε το αποτέλεσμα της επαλήθευσης. Ανοίξτε ξανά την ενέργεια αν επαναληφθεί η ίδια αστοχία.

Τροφοδοτήστε με τα αποτελέσματα τη διοίκηση και την καθημερινή εργασία

Αναφέρετε τις επαναλαμβανόμενες αδυναμίες, τις εκπρόθεσμες ενέργειες, τις ανάγκες σε πόρους και τις σημαντικές αποφάσεις για κινδύνους στην αρμόδια διοίκηση. Τα αποτελέσματα του εσωτερικού ελέγχου αποτελούν εισροή στην ανασκόπηση από τη διοίκηση σύμφωνα με το ISO 27001· η ανασκόπηση είναι διακριτή δραστηριότητα με άλλες απαιτούμενες εισροές, όχι απλώς μια συνάντηση για την έγκριση της έκθεσης ελέγχου.

Το Secani συνδέει απαιτήσεις, τεκμήρια, υπευθύνους, εργασίες και αποφάσεις επανεξέτασης, ώστε η αξιολόγηση και η συνέχεια να παραμένουν στο ίδιο πλαίσιο. Κρατήστε τα υποστηρικτικά αρχεία συνδεδεμένα με τους σχετικούς ελέγχους και διατηρήστε την ανθρώπινη έγκριση των συμπερασμάτων για τα τεκμήρια. Χρησιμοποιήστε τον οδηγό μας για την ετοιμότητα ελέγχου για να οργανώσετε αυτά τα αρχεία πριν από την επιτόπια εργασία.

Ένα πρακτικό επόμενο βήμα είναι να επιλέξετε μία κρίσιμη διαδικασία, να ορίσετε έναν αμερόληπτο ελεγκτή και να γράψετε τα κριτήρια και το σχέδιο δειγματοληψίας της. Προγραμματίστε τον έλεγχο αποτελεσματικότητας όταν αναθέτετε τις διορθωτικές ενέργειες, όχι αφού όλοι τις θεωρήσουν ολοκληρωμένες.