ISO 27001 vidaus auditas, kuris tobulina sistemą

Vidaus auditas suteikia organizacijai galimybę nustatyti, kur jos informacijos saugumo valdymo sistema (ISMS) skiriasi nuo jos ketinimų. Naudingas rezultatas yra pagrįstas vertinimas ir aiškus kiekvieno reikšmingo radinio gerinimo kelias, o ne vien sertifikavimui parengtas ekrano kopijų aplankas.

Techniniam vadovui pagrindinis klausimas – ar sistema veikia realiose paslaugose, tarp žmonių ir perdavimo taškuose. Politika gali būti patvirtinta, o jos įgyvendinimas – neveikti. Auditas turėtų atskleisti šį skirtumą, nepaversdamas kiekvieno veiklos netobulumo nepagrįstu atitikties radiniu.

Nustatykite, ką auditas turi įrodyti

ISO/IEC 27001 9.2 punktas reikalauja planuotais intervalais atlikti vidaus auditus, siekiant įvertinti atitiktį organizacijos ISMS reikalavimams ir standartui bei tai, ar ISMS veiksmingai įgyvendinta ir palaikoma. Audito programoje turi būti atsižvelgta į procesų svarbą ir ankstesnių auditų rezultatus, o auditoriai turi būti parenkami taip, kad būtų užtikrintas objektyvumas ir nešališkumas.

Vidaus auditą gali atlikti darbuotojai arba tam pasitelktas išorės specialistas. Jis nesuteikia sertifikato: sertifikavimas yra atskiras nepriklausomos sertifikavimo įstaigos atliekamas vertinimas. Vidaus auditai lieka ISMS veikimo dalimi ir po sertifikavimo, o ne vien pasiruošimu pirminiam vertinimui.

ISO 27001 nenustato universalaus kasmetinio vidaus audito dažnumo. Kaip praktinė rekomendacija, naudokite dokumentuotą grafiką, atspindintį riziką, pokyčius ir ankstesnius radinius, nestabiliems ar ypatingos svarbos procesams skirdami dažnesnį dėmesį.

Susitarkite dėl kriterijų, ribų ir atsakomybių

Atskiras auditas neprivalo vienu metu nagrinėti visko. Programa turėtų užtikrinti apibrėžtos taikymo srities ISMS aprėptį per suplanuotą ciklą, o ne pakartotinai tikrinti tik gerai žinomas kontrolės priemones.

Prieš prašydami įrodymų, dokumentuokite šiuos sprendimus:

A priedas nėra reikalavimas kiekvieną kontrolės priemonę įgyvendinti vienodai. Patikrinkite, ar taikymo sprendimai ir neįtraukimai pagrįsti, tada išbandykite įsipareigojimus, kuriuos organizacija iš tikrųjų prisiėmė.

Pasirinkite kompetentingus auditorius, suprantančius ir valdymo sistemos reikalavimus, ir nagrinėjamas kontrolės priemones. Venkite situacijų, kai žmonės audituoja savo pačių darbą. Nedidelėje inžinierių komandoje konfliktus gali išspręsti išorės auditorius ar kitos funkcijos vertintojas, jei jie turi pakankamą kompetenciją ir prieigą prie įrodymų.

Įrodymus kurkite aplink veiklos klausimus

Pradėkite nuo taikymo srities, rizikos vertinimo, rizikos valdymo plano, Taikymo pareiškimo, politikų, ankstesnių radinių ir atitinkamų veiklos įrašų. Jie paaiškina, kas turėtų vykti ir kur nesėkmės būtų svarbiausios.

Tada suformuluokite patikrinamus klausimus. Privilegijuotos prieigos atveju paklauskite, ar patvirtinimai gaunami prieš suteikiant prieigą, ar peržiūros apima atitinkamą paskyrų populiaciją ir ar atšaukti leidimai iš tikrųjų išnyksta. Pasirašyta prieigos politika įrodo ketinimą; paskyrų eksportai, patvirtinimų įrašai ir panaikinimo žurnalai įrodo veikimą.

Sudarykite atrankos planą, apimantį naujausius pokyčius, ypatingos svarbos paslaugas, ankstesnius trūkumus ir išimtis. Užfiksuokite populiaciją, atrankos metodą, laikotarpį ir pagrindimą. Praktinei atrankai nebūtinai reikia vieno fiksuoto imties dydžio, tačiau ją turi būti įmanoma paaiškinti. Kelios patogiai parinktos ekrano kopijos retai atspindi visą veiklos laikotarpį.

Įrašus patikrinkite pokalbiais ir stebėjimu. Jei savininkai aprašo rankinį perdavimą, patikrinkite užbaigtus perdavimus. Jei įrodymai prieštarauja pokalbiui, išsiaiškinkite, o ne pasirinkite labiau raminančią versiją. Užfiksuokite apribojimus, kai sistema negali pateikti istorinių įrodymų; nedarykite tylomis išvadų apie ankstesnį veikimą pagal dabartinę konfigūraciją.

Atsekite vieną kontrolės priemonę išnagrinėtame pavyzdyje

Iliustracinės prielaidos: SaaS įmonė audituoja darbuotojų išėjimus per tris mėnesius. Jos procedūra reikalauja panaikinti prieigą iki darbuotojo išėjimo momento. Personalo įrašuose yra 12 išėjimų; auditorius išnagrinėja visus tris privilegijuotus naudotojus ir dar keturis išėjimus iš skirtingų komandų.

Auditorius palygina personalo išėjimo laiko žymas su tapatybių teikėjo įvykiais, programų paskyrų būsena ir išėjimo užduotimis. Vieno buvusio inžinieriaus tapatybių teikėjo paskyra buvo išjungta laiku, tačiau atskirai valdoma repozitorijos paskyra liko aktyvi dar dvi dienas.

Prieš įvertindami radinį, nustatykite, ar paskyra galėjo autentifikuotis, kokie leidimai liko ir ar egzistavo patvirtinta išimtis. Pasikalbėkite su personalo skyriumi ir programos savininku, kad suprastumėte perdavimą. Jei praleidimas atrodo sisteminis, išplėskite testavimą kitiems išėjimams, susijusiems su atskirai valdomomis programomis.

Pagrįstame radinyje nurodoma pažeista procedūra, nustatyta būklė, pagrindžiantys įrašai, paveikta apimtis ir galima pasekmė. Jame neturėtų būti teigiama, kad įvyko neleistina prieiga, nebent tokią išvadą pagrindžia įrodymai.

Atskirkite radinius nuo prielaidų

Neatitikčiai reikia įrodymų, kad reikalavimas nebuvo įvykdytas. Gerinimo galimybė nurodo naudingą patobulinimą, neįrodydama pažeidimo. Neišspręstas klausimas lieka atviras, kol pakankami įrodymai pagrindžia išvadą.

Naudokite nuoseklias klasifikacijas ir radinių prioritetus nustatykite pagal pažeidžiamumą, pasikartojimą ir mastą. Neleiskite rimtumo etiketei pakeisti argumentų. Suteikite procesų savininkams galimybę ištaisyti faktines klaidas, išlaikydami auditoriaus atsakomybę už išvadą.

Ataskaitoje turėtų būti nurodyta taikymo sritis, kriterijai, metodai, apribojimai, radiniai ir atliktu darbu pagrįstas bendras įvertinimas.

Taisomieji veiksmai turi būti daugiau nei uždarymas

Veiksmų plane turėtų būti nurodytas savininkas, terminas, neatidėliotinas pataisymas, pagrindinė priežastis ir pakeitimas, skirtas išvengti pasikartojimo. Repozitorijos paskyros pašalinimas ištaiso šį atvejį. Neišsamaus programų inventoriaus ir personalo perdavimo IT skyriui sutvarkymas sprendžia procesą.

Nepriimkite „žmogiškosios klaidos“ kaip visos pagrindinės priežasties, kai darbo eiga priklauso nuo atminties ar neturi savininko. Prieš uždarydami veiksmą, apibrėžkite veiksmingumo kriterijus: pavyzdžiui, vėlesni išėjimai turi apimti suderintas patikras pagal atitinkamą programų inventorių.

Užbaigta užduotis įrodo įvykdymą, bet nebūtinai veiksmingumą. Po įgyvendinimo patikrinkite kitą imtį ir išsaugokite patikros rezultatą. Jei ta pati nesėkmė pasikartoja, atverkite veiksmą iš naujo.

Rezultatus perduokite vadovybei ir kasdieniam darbui

Atitinkamai vadovybei praneškite apie pasikartojančius trūkumus, vėluojančius veiksmus, išteklių poreikius ir reikšmingus rizikos sprendimus. Pagal ISO 27001 vidaus audito rezultatai yra vadovybinės peržiūros įvestis; peržiūra yra atskira veikla su kitomis privalomomis įvestimis, o ne vien susitikimas audito ataskaitai patvirtinti.

Secani susieja reikalavimus, įrodymus, savininkus, užduotis ir peržiūros sprendimus, kad vertinimas ir tolesni veiksmai liktų kontekste. Pagrindžiančius įrašus laikykite pridėtus prie atitinkamų kontrolės priemonių ir išsaugokite žmogaus patvirtinimą įrodymų išvadoms. Naudokitės mūsų pasirengimo auditui vadovu, kad sutvarkytumėte šiuos įrašus prieš lauko darbus.

Praktinis kitas žingsnis – pasirinkti vieną ypatingos svarbos procesą, paskirti nešališką auditorių ir parašyti jo kriterijus bei atrankos planą. Veiksmingumo patikrą suplanuokite skirdami taisomuosius veiksmus, o ne tada, kai visi juos laikys užbaigtais.