Interni audit prema ISO 27001 koji poboljšava sustav

Interni audit daje organizaciji priliku da otkrije gdje njezin sustav upravljanja informacijskom sigurnošću (ISMS) odstupa od njezinih namjera. Koristan rezultat je potkrijepljena procjena i jasan put poboljšanja za svaki bitan nalaz, a ne samo mapa snimki zaslona pripremljena za certifikaciju.

Za tehničkog rukovoditelja središnje je pitanje funkcionira li sustav kroz stvarne usluge, ljude i predaje. Politika može biti odobrena, a njezina provedba ipak zakazati. Audit bi trebao otkriti tu razliku, a da svaku operativnu nesavršenost ne pretvori u nepotkrijepljen nalaz o usklađenosti.

Utvrdite što audit mora dokazati

ISO/IEC 27001, točka 9.2., zahtijeva interne audite u planiranim razmacima kako bi se procijenila sukladnost sa zahtjevima organizacije za ISMS i s normom te je li ISMS učinkovito proveden i održavan. Program audita mora uzeti u obzir važnost procesa i rezultate prethodnih audita, a auditori se biraju tako da se osigura objektivnost i nepristranost.

Interni audit mogu provoditi zaposlenici ili vanjski stručnjak angažiran u tu svrhu. On ne izdaje certifikat: certifikacija je zasebna procjena koju provodi neovisno certifikacijsko tijelo. Interni auditi ostaju dio rada ISMS-a i nakon certifikacije, a ne samo priprema za početnu procjenu.

ISO 27001 ne propisuje univerzalnu godišnju učestalost internih audita. Kao praktičnu preporuku, koristite dokumentirani raspored koji odražava rizik, promjene i prethodne nalaze, uz češću pozornost nestabilnim ili ključnim procesima.

Dogovorite kriterije, granice i odgovornosti

Pojedinačni audit ne mora istodobno ispitati sve. Program bi trebao osigurati obuhvat ISMS-a u definiranom opsegu tijekom planiranog ciklusa, umjesto da se opetovano pregledavaju samo poznate kontrole.

Prije traženja dokaza dokumentirajte sljedeće odluke:

Prilog A nije zahtjev da se svaka kontrola provede na isti način. Provjerite jesu li odluke o primjenjivosti i isključenja opravdani, a zatim testirajte obveze koje je organizacija stvarno preuzela.

Odaberite kompetentne auditore koji razumiju i zahtjeve za sustav upravljanja i ispitane kontrole. Izbjegavajte da ljudi revidiraju vlastiti rad. U malom razvojnom timu vanjski auditor ili pregledavatelj iz druge funkcije može riješiti sukobe, pod uvjetom da ima dovoljnu kompetenciju i pristup dokazima.

Dokaze gradite oko operativnih pitanja

Počnite s opsegom, procjenom rizika, planom obrade, Izjavom o primjenjivosti, politikama, prethodnim nalazima i relevantnim operativnim zapisima. Oni objašnjavaju što bi se trebalo događati i gdje bi propusti bili najvažniji.

Zatim formulirajte pitanja koja se mogu testirati. Za privilegirani pristup pitajte prethode li odobrenja pristupu, obuhvaćaju li pregledi relevantnu populaciju računa i nestaju li opozvana ovlaštenja stvarno. Potpisana politika pristupa dokazuje namjeru; izvozi računa, zapisi o odobrenjima i zapisnici o uklanjanju dokazuju rad.

Izradite plan uzorkovanja koji uključuje nedavne promjene, ključne usluge, prethodne slabosti i iznimke. Zabilježite populaciju, metodu odabira, razdoblje i obrazloženje. Praktično uzorkovanje ne mora koristiti jednu fiksnu veličinu uzorka, ali mora biti objašnjivo. Nekoliko prikladno odabranih snimki zaslona rijetko predstavlja cijelo razdoblje rada.

Zapise usporedite s razgovorima i promatranjem. Ako vlasnici opisuju ručnu predaju, pregledajte dovršene predaje. Ako su dokazi u suprotnosti s razgovorom, istražite umjesto da odaberete umirujuću verziju. Zabilježite ograničenja kada sustav ne može pružiti povijesne dokaze; ne zaključujte prešutno o prošlom radu na temelju trenutačne konfiguracije.

Pratite jednu kontrolu kroz primjer iz prakse

Ilustrativne pretpostavke: SaaS društvo revidira odlaske zaposlenika tijekom tri mjeseca. Njegov postupak zahtijeva uklanjanje pristupa do trenutka odlaska zaposlenika. Zapisi ljudskih potencijala pokazuju 12 odlazaka; auditor ispituje sva tri privilegirana korisnika i još četiri odlaska iz različitih timova.

Auditor uspoređuje vremenske oznake odlazaka iz evidencije ljudskih potencijala s događajima kod pružatelja identiteta, statusom računa u aplikacijama i zahtjevima za postupak odlaska. Račun jednog bivšeg inženjera kod pružatelja identiteta onemogućen je na vrijeme, ali je zasebno upravljan račun u repozitoriju ostao aktivan dva dana.

Prije ocjenjivanja nalaza utvrdite je li se račun mogao autentificirati, koja su ovlaštenja ostala i je li postojala odobrena iznimka. Razgovarajte s ljudskim potencijalima i vlasnikom aplikacije kako biste razumjeli predaju. Proširite testiranje na druge odlaske koji uključuju zasebno upravljane aplikacije ako se propust čini sustavnim.

Obranjiv nalaz navodi prekršeni postupak, uočeno stanje, popratne zapise, pogođeni opseg i moguću posljedicu. Ne bi smio tvrditi da je došlo do neovlaštenog pristupa osim ako dokazi podupiru taj zaključak.

Razdvojite nalaze od pretpostavki

Nesukladnost zahtijeva dokaz da zahtjev nije ispunjen. Prilika za poboljšanje utvrđuje korisno unapređenje bez dokazivanja povrede. Otvoreno pitanje ostaje otvoreno dok dovoljni dokazi ne poduprnu zaključak.

Koristite dosljedne klasifikacije i dajte prednost nalazima prema izloženosti, ponavljanju i širini. Ne dopustite da oznaka ozbiljnosti zamijeni obrazloženje. Dajte vlasnicima procesa priliku da isprave činjenične pogreške, ali odgovornost za zaključak zadržava auditor.

Izvješće bi trebalo navesti opseg, kriterije, metode, ograničenja, nalaze i ukupnu procjenu koju podupire obavljeni rad.

Neka korektivna radnja bude više od zatvaranja

Plan radnji trebao bi navesti vlasnika, rok, trenutačni ispravak, temeljni uzrok i promjenu kojom se namjerava spriječiti ponavljanje. Uklanjanje računa u repozitoriju ispravlja taj pojedinačni slučaj. Popravak nepotpunog inventara aplikacija i predaje između ljudskih potencijala i IT-a rješava proces.

Ne prihvaćajte „ljudsku pogrešku” kao potpuni temeljni uzrok kada tijek rada ovisi o pamćenju ili nema vlasnika. Definirajte kriterije učinkovitosti prije zatvaranja radnje: primjerice, sljedeći odlasci moraju uključivati usklađene provjere u odnosu na relevantni inventar aplikacija.

Dovršen zahtjev dokazuje izvršenje, a ne nužno i učinkovitost. Nakon provedbe pregledajte novi uzorak i sačuvajte rezultat provjere. Ponovno otvorite radnju ako se isti propust ponovi.

Rezultate uključite u rad uprave i svakodnevni rad

Ponavljajuće slabosti, zakašnjele radnje, potrebe za resursima i značajne odluke o riziku izvješćujte relevantnoj upravi. Rezultati internog audita ulazni su podatak za upravinu ocjenu prema ISO 27001; ta je ocjena zasebna aktivnost s drugim propisanim ulaznim podacima, a ne samo sastanak za odobravanje izvješća o auditu.

Secani povezuje zahtjeve, dokaze, vlasnike, zadatke i odluke o pregledu kako bi procjena i daljnje postupanje ostali u kontekstu. Popratne zapise držite priložene relevantnim kontrolama i sačuvajte ljudsko odobrenje zaključaka o dokazima. Koristite naš vodič o spremnosti za audit kako biste te zapise organizirali prije terenskog rada.

Praktičan sljedeći korak je odabrati jedan ključni proces, imenovati nepristranog auditora i zapisati kriterije i plan uzorkovanja. Provjeru učinkovitosti zakažite pri dodjeli korektivnih radnji, a ne nakon što ih svi smatraju završenima.