Een interne ISO 27001-audit die het systeem verbetert

Een interne audit geeft de organisatie de kans te ontdekken waar haar managementsysteem voor informatiebeveiliging (ISMS) afwijkt van wat zij van plan was. Het nuttige resultaat is een onderbouwde beoordeling en een duidelijk verbetertraject voor elke wezenlijke bevinding, niet simpelweg een map met schermafbeeldingen die voor de certificering is samengesteld.

Voor een technisch leidinggevende is de kernvraag of het systeem werkt over echte diensten, mensen en overdrachten heen. Een beleid kan zijn goedgekeurd terwijl de uitvoering faalt. Een audit moet dat verschil blootleggen zonder van elke operationele onvolkomenheid een niet-onderbouwde compliancebevinding te maken.

Bepaal wat de audit moet aantonen

ISO/IEC 27001, hoofdstuk 9.2, vereist interne audits met geplande tussenpozen om te beoordelen of het ISMS voldoet aan de eisen van de organisatie en van de norm, en of het ISMS doeltreffend is geïmplementeerd en wordt onderhouden. Het auditprogramma moet rekening houden met het belang van processen en de resultaten van eerdere audits, en auditors moeten zo worden geselecteerd dat objectiviteit en onpartijdigheid zijn gewaarborgd.

Een interne audit kan worden uitgevoerd door medewerkers of door een externe specialist die daarvoor wordt ingehuurd. Er wordt geen certificaat afgegeven: certificering is een afzonderlijke beoordeling door een onafhankelijke certificatie-instelling. Interne audits blijven na de certificering onderdeel van het beheer van het ISMS en zijn niet alleen een voorbereiding op de eerste beoordeling.

ISO 27001 schrijft geen universele jaarlijkse frequentie voor interne audits voor. Als praktische aanbeveling: gebruik een gedocumenteerd schema dat rekening houdt met risico's, wijzigingen en eerdere bevindingen, met vaker aandacht voor instabiele of kritieke processen.

Maak afspraken over criteria, grenzen en verantwoordelijkheden

Een afzonderlijke audit hoeft niet alles tegelijk te onderzoeken. Het programma moet over de geplande cyclus het afgebakende ISMS dekken, in plaats van herhaaldelijk alleen vertrouwde maatregelen te inspecteren.

Documenteer deze besluiten voordat u om bewijs vraagt:

Annex A is geen eis om elke maatregel op dezelfde manier te implementeren. Controleer of besluiten over toepasselijkheid en uitsluitingen gerechtvaardigd zijn en test vervolgens de toezeggingen die de organisatie werkelijk heeft gedaan.

Kies competente auditors die zowel de eisen aan het managementsysteem als de onderzochte maatregelen begrijpen. Voorkom dat mensen hun eigen werk auditen. In een klein engineeringteam kan een externe auditor of een beoordelaar uit een andere functie conflicten oplossen, mits die voldoende deskundigheid en toegang tot het bewijs heeft.

Bouw bewijs op rond operationele vragen

Begin met de reikwijdte, de risicobeoordeling, het behandelplan, de Verklaring van Toepasselijkheid, het beleid, eerdere bevindingen en relevante operationele registraties. Die verklaren wat er zou moeten gebeuren en waar tekortkomingen het zwaarst zouden wegen.

Formuleer vervolgens toetsbare vragen. Vraag bij bevoorrechte toegang of goedkeuringen aan de toegang voorafgaan, of reviews de relevante populatie accounts omvatten en of ingetrokken rechten ook werkelijk verdwijnen. Een ondertekend toegangsbeleid toont de intentie aan; accountexports, goedkeuringsregistraties en verwijderingslogs tonen de werking aan.

Stel een steekproefplan op dat recente wijzigingen, kritieke diensten, eerdere zwakheden en uitzonderingen omvat. Leg de populatie, de selectiemethode, de periode en de onderbouwing vast. Een praktische steekproef hoeft geen vaste omvang te hebben, maar moet wel uit te leggen zijn. Een handvol goed uitkomende schermafbeeldingen is zelden representatief voor een volledige operationele periode.

Toets registraties aan interviews en observaties. Beschrijven eigenaren een handmatige overdracht, inspecteer dan afgeronde overdrachten. Spreekt bewijs een interview tegen, onderzoek dat dan in plaats van de geruststellendere versie te kiezen. Leg beperkingen vast als een systeem geen historisch bewijs kan leveren; leid de werking in het verleden niet stilzwijgend af uit de huidige configuratie.

Volg één maatregel in een uitgewerkt voorbeeld

Illustratieve aannames: een SaaS-bedrijf audit het vertrek van medewerkers over een periode van drie maanden. De procedure vereist dat de toegang uiterlijk op het tijdstip van vertrek van de medewerker is verwijderd. Volgens HR-registraties zijn er 12 medewerkers vertrokken; de auditor onderzoekt alle drie de bevoorrechte gebruikers en vier extra vertrekkers uit verschillende teams.

De auditor vergelijkt de vertrektijdstippen van HR met gebeurtenissen bij de identiteitsprovider, de accountstatus in applicaties en de uitstroomtickets. Het account bij de identiteitsprovider van één voormalige engineer is op tijd uitgeschakeld, maar een afzonderlijk beheerd repository-account bleef twee dagen actief.

Stel vast of het account zich kon authenticeren, welke rechten er nog waren en of er een goedgekeurde uitzondering bestond voordat u de bevinding weegt. Interview HR en de applicatie-eigenaar om de overdracht te begrijpen. Breid de tests uit naar andere vertrekkers met afzonderlijk beheerde applicaties als de omissie structureel lijkt.

Een verdedigbare bevinding benoemt de geschonden procedure, de waargenomen situatie, de onderbouwende registraties, de betrokken reikwijdte en het mogelijke gevolg. Zij mag niet beweren dat er ongeautoriseerde toegang heeft plaatsgevonden, tenzij het bewijs die conclusie ondersteunt.

Scheid bevindingen van aannames

Een afwijking vereist bewijs dat niet aan een eis is voldaan. Een verbeterkans wijst op een nuttige verbetering zonder een schending aan te tonen. Een onopgeloste vraag blijft open totdat voldoende bewijs een conclusie ondersteunt.

Gebruik consistente classificaties en prioriteer bevindingen naar blootstelling, herhaling en reikwijdte. Laat een ernstlabel de onderbouwing niet vervangen. Geef proceseigenaren de gelegenheid feitelijke fouten te corrigeren, terwijl de auditor verantwoordelijk blijft voor de conclusie.

Het rapport moet de reikwijdte, criteria, methoden, beperkingen, bevindingen en het algemene oordeel vermelden dat door het uitgevoerde werk wordt ondersteund.

Maak van corrigerende maatregelen meer dan afsluiten

Een actieplan moet een eigenaar, een einddatum, de directe correctie, de grondoorzaak en de wijziging bevatten die herhaling moet voorkomen. Het verwijderen van het repository-account corrigeert dat ene geval. Het repareren van de onvolledige applicatie-inventaris en de overdracht van HR naar IT pakt het proces aan.

Accepteer “menselijke fout” niet als volledige grondoorzaak wanneer de werkwijze afhangt van het geheugen of geen eigenaar heeft. Leg criteria voor doeltreffendheid vast voordat u de actie afsluit: bijvoorbeeld dat bij volgende vertrekkers controles worden uitgevoerd die zijn afgestemd op de relevante applicatie-inventaris.

Een afgerond ticket bewijst de uitvoering, niet noodzakelijk de doeltreffendheid. Inspecteer na de implementatie een nieuwe steekproef en bewaar het verificatieresultaat. Heropen de actie als dezelfde tekortkoming zich opnieuw voordoet.

Laat de resultaten doorwerken in het management en het dagelijkse werk

Rapporteer terugkerende zwakheden, achterstallige acties, de behoefte aan middelen en belangrijke risicobesluiten aan het betrokken management. De resultaten van interne audits zijn input voor de directiebeoordeling onder ISO 27001; die beoordeling is een afzonderlijke activiteit met andere vereiste input, niet alleen een vergadering om het auditrapport goed te keuren.

Secani verbindt eisen, bewijs, eigenaren, taken en beoordelingsbesluiten, zodat beoordeling en opvolging in hun context blijven. Houd onderbouwende registraties gekoppeld aan de relevante maatregelen en bewaar de menselijke goedkeuring van conclusies over bewijs. Gebruik onze gids over auditgereedheid om die registraties vóór het veldwerk te ordenen.

Een praktische volgende stap is één kritiek proces te kiezen, een onpartijdige auditor aan te wijzen en de criteria en het steekproefplan ervan op te schrijven. Plan de controle op doeltreffendheid op het moment dat u corrigerende maatregelen toewijst, niet pas wanneer iedereen ze als afgerond beschouwt.