ISO 27001 siseaudit, mis parandab süsteemi

Siseaudit annab organisatsioonile võimaluse avastada, kus tema infoturbe juhtimissüsteem (ISMS) erineb tema kavatsustest. Kasulik tulemus on põhjendatud hinnang ja selge parendustee iga olulise leiu jaoks – mitte lihtsalt sertifitseerimiseks ette valmistatud ekraanipiltide kaust.

Tehnilise juhi jaoks on keskne küsimus, kas süsteem toimib tegelike teenuste, inimeste ja üleandmiste lõikes. Poliitika võib olla kinnitatud, samas kui selle rakendamine ebaõnnestub. Audit peaks selle erinevuse paljastama, muutmata iga tegevuslikku ebatäiust põhjendamata vastavusleiuks.

Tehke kindlaks, mida audit peab tõendama

ISO/IEC 27001 punkt 9.2 nõuab kavandatud intervallidega siseauditeid, et hinnata vastavust organisatsiooni ISMS-i nõuetele ja standardile ning seda, kas ISMS on tõhusalt rakendatud ja alal hoitud. Auditiprogramm peab arvestama protsesside olulisust ja eelmiste auditite tulemusi ning audiitorid tuleb valida nii, et oleks tagatud objektiivsus ja erapooletus.

Siseauditi võivad läbi viia töötajad või selleks kaasatud väline spetsialist. Siseaudit ei anna välja sertifikaati: sertifitseerimine on sõltumatu sertifitseerimisasutuse eraldi hindamine. Siseauditid jäävad osaks ISMS-i toimimisest ka pärast sertifitseerimist, mitte ainult ettevalmistuseks esmaseks hindamiseks.

ISO 27001 ei näe ette universaalset iga-aastast siseauditi sagedust. Praktilise soovitusena kasutage dokumenteeritud ajakava, mis kajastab riski, muudatusi ja eelmisi leide, pöörates ebastabiilsetele või kriitilistele protsessidele sagedamini tähelepanu.

Leppige kokku kriteeriumid, piirid ja kohustused

Üksik audit ei pea kõike korraga uurima. Programm peaks tagama käsitlusalasse kuuluva ISMS-i katvuse kogu kavandatud tsükli jooksul, selle asemel et korduvalt kontrollida ainult tuttavaid meetmeid.

Dokumenteerige need otsused enne tõendite küsimist:

Lisa A ei ole nõue rakendada iga meedet ühtemoodi. Kontrollige, kas kohaldatavuse otsused ja välistused on põhjendatud, ning seejärel testige kohustusi, mille organisatsioon on tegelikult võtnud.

Valige pädevad audiitorid, kes mõistavad nii juhtimissüsteemi nõudeid kui ka uuritavaid meetmeid. Vältige olukorda, kus inimesed auditeerivad oma tööd. Väikeses arendusmeeskonnas võib konflikte lahendada väline audiitor või funktsiooniülene ülevaataja, tingimusel et tal on piisav pädevus ja juurdepääs tõenditele.

Koondage tõendid tegevuslike küsimuste ümber

Alustage käsitlusalast, riskihinnangust, käsitlusplaanist, kohaldatavusavaldusest, poliitikatest, eelmistest leidudest ja asjakohastest tegevuskirjetest. Need selgitavad, mis peaks juhtuma ja kus rikked oleksid kõige olulisemad.

Seejärel sõnastage testitavad küsimused. Privilegeeritud juurdepääsu puhul küsige, kas kinnitused eelnevad juurdepääsule, kas ülevaatused hõlmavad asjakohast kontode populatsiooni ja kas tühistatud õigused tegelikult kaovad. Allkirjastatud juurdepääsupoliitika tõendab kavatsust; kontode eksportfailid, kinnituskirjed ja eemaldamislogid tõendavad toimimist.

Koostage valimiplaan, mis hõlmab hiljutisi muudatusi, kriitilisi teenuseid, varasemaid nõrkusi ja erandeid. Dokumenteerige populatsioon, valikumeetod, periood ja põhjendus. Praktiline valimi moodustamine ei pea kasutama üht kindlat valimi suurust, kuid see peab olema selgitatav. Peotäis mugavaid ekraanipilte esindab harva kogu tegevusperioodi.

Kontrollige kirjeid intervjuude ja vaatlusega ristiti. Kui omanikud kirjeldavad käsitsi üleandmist, kontrollige tehtud üleandmisi. Kui tõendid on intervjuuga vastuolus, uurige asja, selle asemel et valida rahustavam selgitus. Dokumenteerige piirangud, kui süsteem ei suuda ajaloolisi tõendeid esitada; ärge tuletage vaikselt varasemat toimimist selle praegusest seadistusest.

Järgige üht meedet näite abil

Illustratiivsed eeldused: SaaS-ettevõte auditeerib töötajate lahkumisi kolme kuu jooksul. Selle protseduur nõuab juurdepääsu eemaldamist töötaja lahkumise ajaks. Personaliarvestuse kirjed näitavad 12 lahkumist; audiitor uurib kõiki kolme privilegeeritud kasutajat ja nelja täiendavat lahkumist eri meeskondadest.

Audiitor võrdleb personaliarvestuse lahkumise ajatempleid identiteedipakkuja sündmuste, rakenduste kontode oleku ja töölt lahkumise piletitega. Ühe endise inseneri identiteedipakkuja konto keelati õigel ajal, kuid eraldi hallatav koodihoidla konto jäi kaheks päevaks aktiivseks.

Enne leiu hindamist tehke kindlaks, kas kontoga sai autentida, millised õigused jäid alles ja kas oli olemas kinnitatud erand. Intervjueerige personaliosakonda ja rakenduse omanikku, et mõista üleandmist. Laiendage testimist teistele lahkumistele, mis hõlmavad eraldi hallatavaid rakendusi, kui väljajätmine näib süsteemne.

Põhjendatav leid nimetab rikutud protseduuri, täheldatud olukorra, toetavad kirjed, mõjutatud ulatuse ja võimaliku tagajärje. See ei tohiks väita, et toimus volitamata juurdepääs, kui tõendid seda järeldust ei toeta.

Eristage leiud eeldustest

Mittevastavus nõuab tõendeid, et nõue ei ole täidetud. Parendusvõimalus tuvastab kasuliku täienduse, tõendamata rikkumist. Lahendamata küsimus jääb avatuks, kuni piisavad tõendid järeldust toetavad.

Kasutage järjepidevaid klassifikatsioone ja seadke leiud tähtsuse järjekorda avatuse, kordumise ja ulatuse alusel. Ärge laske raskusastme sildil põhjendust asendada. Andke protsessiomanikele võimalus faktivigu parandada, säilitades samal ajal audiitori vastutuse järelduse eest.

Aruanne peaks esitama ulatuse, kriteeriumid, meetodid, piirangud, leiud ja üldhinnangu, mida tehtud töö toetab.

Muutke parandusmeede enamaks kui sulgemiseks

Tegevuskava peaks nimetama omaniku, tähtaja, kohese korrektsiooni, algpõhjuse ja muudatuse, mis on mõeldud kordumise vältimiseks. Koodihoidla konto eemaldamine parandab selle konkreetse juhtumi. Puuduliku rakenduste inventari ning personaliosakonnast IT-le üleandmise parandamine käsitleb protsessi.

Vältige „inimliku vea“ aktsepteerimist täieliku algpõhjusena, kui töövoog sõltub mälust või sellel puudub omanik. Määratlege tõhususe kriteeriumid enne tegevuse sulgemist: näiteks peavad järgnevad lahkumised hõlmama vastavusse viidud kontrolle asjakohase rakenduste inventari suhtes.

Lõpetatud pilet tõendab täitmist, mitte tingimata tõhusust. Pärast rakendamist kontrollige uut valimit ja säilitage kontrolli tulemus. Avage tegevus uuesti, kui sama rike kordub.

Suunake tulemused juhtkonnale ja igapäevatöösse

Teavitage asjaomast juhtkonda korduvatest nõrkustest, tähtaja ületanud tegevustest, ressursivajadustest ja olulistest riskiotsustest. Siseauditi tulemused on ISO 27001 kohaselt juhtkonnapoolse läbivaatuse sisend; läbivaatus on eraldi tegevus teiste nõutavate sisenditega, mitte lihtsalt koosolek auditiaruande kinnitamiseks.

Secani seob nõuded, tõendid, omanikud, ülesanded ja läbivaatusotsused, nii et hindamine ja järeltegevus jäävad konteksti. Hoidke toetavad kirjed seotuna asjakohaste meetmetega ja säilitage tõendite järelduste inimlik kinnitus. Kasutage meie auditivalmiduse juhendit, et need kirjed enne välitööd korrastada.

Praktiline järgmine samm on valida üks kriitiline protsess, määrata erapooletu audiitor ning kirjutada selle kriteeriumid ja valimiplaan. Ajastage tõhususe kontroll parandusmeetmete määramisel – mitte pärast seda, kui kõik peavad neid lõpetatuks.