ISO 27001 iekšējais audits, kas uzlabo sistēmu

Iekšējais audits dod organizācijai iespēju atklāt, kur tās informācijas drošības pārvaldības sistēma (ISMS) atšķiras no iecerētā. Noderīgs rezultāts ir pamatots novērtējums un skaidrs uzlabojumu ceļš katram būtiskam konstatējumam, nevis vienkārši sertifikācijai sagatavota ekrānuzņēmumu mape.

Tehniskajam vadītājam galvenais jautājums ir, vai sistēma darbojas reālos pakalpojumos, starp reāliem cilvēkiem un nodošanas posmos. Politiku var apstiprināt, kamēr tās ieviešana neizdodas. Auditam šī atšķirība jāatklāj, nepārvēršot katru darbības nepilnību par nepamatotu atbilstības konstatējumu.

Nosakiet, kas auditam jāpierāda

ISO/IEC 27001 9.2. punkts pieprasa plānotos intervālos veikt iekšējos auditus, lai novērtētu atbilstību organizācijas ISMS prasībām un standartam, kā arī to, vai ISMS tiek efektīvi ieviesta un uzturēta. Audita programmā jāņem vērā procesu nozīmīgums un iepriekšējo auditu rezultāti, un auditori jāizvēlas tā, lai nodrošinātu objektivitāti un objektīvu attieksmi.

Iekšējo auditu var veikt darbinieki vai šim nolūkam piesaistīts ārējs speciālists. Tas neizsniedz sertifikātu: sertifikācija ir atsevišķs neatkarīgas sertifikācijas institūcijas novērtējums. Iekšējie auditi joprojām ir daļa no ISMS darbības arī pēc sertifikācijas, nevis tikai gatavošanās sākotnējam novērtējumam.

ISO 27001 nenosaka universālu ikgadēju iekšējā audita biežumu. Kā praktisku ieteikumu izmantojiet dokumentētu grafiku, kas atspoguļo riskus, izmaiņas un iepriekšējos konstatējumus, biežāk pievēršot uzmanību nestabiliem vai kritiskiem procesiem.

Vienojieties par kritērijiem, robežām un atbildību

Atsevišķam auditam nav vienlaikus jāpārbauda viss. Programmai jānodrošina ISMS tvēruma pārklājums plānotajā ciklā, nevis atkārtoti jāpārbauda tikai pazīstamās kontroles.

Dokumentējiet šos lēmumus, pirms pieprasāt pierādījumus:

A pielikums neprasa katru kontroli ieviest identiski. Pārbaudiet, vai piemērojamības lēmumi un izslēgšanas ir pamatotas, un pēc tam testējiet saistības, ko organizācija faktiski ir uzņēmusies.

Izvēlieties kompetentus auditorus, kuri izprot gan pārvaldības sistēmas prasības, gan pārbaudāmās kontroles. Neļaujiet cilvēkiem auditēt pašiem savu darbu. Nelielā inženieru komandā interešu konfliktus var atrisināt ārējs auditors vai citas funkcijas pārstāvis, ja vien viņam ir pietiekama kompetence un piekļuve pierādījumiem.

Veidojiet pierādījumus ap darbības jautājumiem

Sāciet ar tvērumu, riska novērtējumu, apstrādes plānu, Piemērojamības paziņojumu, politikām, iepriekšējiem konstatējumiem un attiecīgajiem darbības ierakstiem. Tie izskaidro, kam būtu jānotiek un kur kļūmes būtu visnozīmīgākās.

Pēc tam formulējiet pārbaudāmus jautājumus. Attiecībā uz priviliģēto piekļuvi jautājiet, vai apstiprinājumi notiek pirms piekļuves piešķiršanas, vai pārskatīšanas aptver attiecīgo kontu kopu un vai atsauktās atļaujas patiešām izzūd. Parakstīta piekļuves politika apliecina nodomu; kontu eksporti, apstiprinājumu ieraksti un dzēšanas žurnāli apliecina darbību.

Izveidojiet izlases plānu, kas ietver nesenās izmaiņas, kritiskos pakalpojumus, iepriekšējās vājās vietas un izņēmumus. Reģistrējiet kopu, atlases metodi, periodu un pamatojumu. Praktiskā izlasē nav obligāti jāizmanto viens fiksēts izlases lielums, taču tai jābūt izskaidrojamai. Daži ērti ekrānuzņēmumi reti atspoguļo visu darbības periodu.

Triangulējiet ierakstus ar intervijām un novērošanu. Ja īpašnieki apraksta manuālu nodošanu, pārbaudiet pabeigtās nodošanas. Ja pierādījumi ir pretrunā ar interviju, izpētiet lietu, nevis izvēlieties nomierinošāko versiju. Reģistrējiet ierobežojumus, ja sistēma nevar sniegt vēsturiskus pierādījumus; neizsecinājiet klusībā pagātnes darbību no tās pašreizējās konfigurācijas.

Izsekojiet vienu kontroli praktiskā piemērā

Ilustratīvi pieņēmumi: SaaS uzņēmums trīs mēnešu periodā auditē darbinieku aiziešanu. Tā procedūra pieprasa noņemt piekļuvi līdz darbinieka aiziešanas brīdim. Personāla ieraksti uzrāda 12 aiziešanas gadījumus; auditors pārbauda visus trīs priviliģētos lietotājus un vēl četrus aiziešanas gadījumus dažādās komandās.

Auditors salīdzina personāla daļas aiziešanas laikspiedolus ar identitātes nodrošinātāja notikumiem, lietotņu kontu statusu un darba attiecību izbeigšanas pieteikumiem. Viena bijušā inženiera konts identitātes nodrošinātājā tika atspējots laikā, taču atsevišķi pārvaldīts repozitorija konts palika aktīvs vēl divas dienas.

Pirms konstatējuma novērtēšanas noskaidrojiet, vai ar kontu varēja autentificēties, kādas atļaujas saglabājās un vai pastāvēja apstiprināts izņēmums. Intervējiet personāla daļu un lietotnes īpašnieku, lai izprastu nodošanu. Ja izlaidums šķiet sistēmisks, paplašiniet testēšanu uz citiem aiziešanas gadījumiem, kas saistīti ar atsevišķi pārvaldītām lietotnēm.

Pamatots konstatējums identificē pārkāpto procedūru, novēroto stāvokli, apliecinošos ierakstus, skarto tvērumu un iespējamās sekas. Tajā nevajadzētu apgalvot, ka notikusi nesankcionēta piekļuve, ja vien pierādījumi neapstiprina šo secinājumu.

Nošķiriet konstatējumus no pieņēmumiem

Neatbilstībai nepieciešami pierādījumi, ka prasība nav izpildīta. Uzlabošanas iespēja norāda uz noderīgu pilnveidojumu, nepierādot pārkāpumu. Neatrisināts jautājums paliek atklāts, līdz pietiekami pierādījumi pamato secinājumu.

Izmantojiet konsekventu klasifikāciju un nosakiet konstatējumu prioritātes pēc pakļautības riskam, atkārtošanās un apjoma. Neļaujiet smaguma pakāpes apzīmējumam aizstāt argumentāciju. Dodiet procesu īpašniekiem iespēju labot faktu kļūdas, saglabājot auditora atbildību par secinājumu.

Ziņojumā jānorāda tvērums, kritēriji, metodes, ierobežojumi, konstatējumi un kopējais novērtējums, ko pamato veiktais darbs.

Padariet korektīvo darbību par kaut ko vairāk nekā slēgšanu

Rīcības plānā jānorāda atbildīgais, izpildes termiņš, tūlītēja korekcija, pamatcēlonis un izmaiņa, kas paredzēta atkārtošanās novēršanai. Repozitorija konta dzēšana izlabo konkrēto gadījumu. Nepilnīgā lietotņu reģistra un personāla daļas–IT nodošanas sakārtošana risina procesu.

Nepieņemiet „cilvēcisko kļūdu” kā pilnīgu pamatcēloni, ja darbplūsma balstās uz atmiņu vai tai trūkst atbildīgā. Pirms darbības slēgšanas definējiet efektivitātes kritērijus: piemēram, turpmākajos aiziešanas gadījumos jāietver salīdzinātas pārbaudes pret attiecīgo lietotņu reģistru.

Pabeigts pieteikums pierāda izpildi, bet ne obligāti efektivitāti. Pēc ieviešanas pārbaudiet vēl vienu izlasi un saglabājiet verifikācijas rezultātu. Atkārtoti atveriet darbību, ja tā pati kļūme atkārtojas.

Novadiet rezultātus līdz vadībai un ikdienas darbam

Ziņojiet attiecīgajai vadībai par atkārtotām vājajām vietām, nokavētām darbībām, resursu vajadzībām un nozīmīgiem riska lēmumiem. Iekšējā audita rezultāti ir ievaddati vadības pārskatam saskaņā ar ISO 27001; pārskats ir atsevišķa darbība ar citiem obligātiem ievaddatiem, nevis tikai sanāksme audita ziņojuma apstiprināšanai.

Secani sasaista prasības, pierādījumus, īpašniekus, uzdevumus un pārskatīšanas lēmumus, lai novērtēšana un turpmākie pasākumi paliktu kontekstā. Glabājiet apliecinošos ierakstus pievienotus attiecīgajām kontrolēm un saglabājiet cilvēka apstiprinājumu pierādījumu secinājumiem. Izmantojiet mūsu gatavības auditam ceļvedi, lai sakārtotu šos ierakstus pirms audita darba uz vietas.

Praktisks nākamais solis ir izvēlēties vienu kritisku procesu, iecelt objektīvu auditoru un uzrakstīt tā kritērijus un izlases plānu. Ieplānojiet efektivitātes pārbaudi jau tad, kad piešķirat korektīvās darbības, nevis pēc tam, kad visi tās uzskata par pabeigtām.