Un audit intern ISO 27001 care îmbunătățește sistemul

Un audit intern îi oferă organizației șansa de a descoperi unde se abate sistemul său de management al securității informației (SMSI) de la intențiile sale. Rezultatul util este o evaluare susținută de dovezi și o cale clară de îmbunătățire pentru fiecare constatare semnificativă, nu doar un dosar cu capturi de ecran pregătit pentru certificare.

Pentru un lider tehnic, întrebarea centrală este dacă sistemul funcționează pentru serviciile, oamenii și predările de responsabilitate reale. O politică poate fi aprobată în timp ce implementarea ei eșuează. Un audit ar trebui să scoată la iveală această diferență fără a transforma fiecare imperfecțiune operațională într-o constatare de conformitate nesusținută.

Stabiliți ce trebuie să demonstreze auditul

ISO/IEC 27001, clauza 9.2, impune audituri interne la intervale planificate pentru a evalua conformitatea cu cerințele organizației privind SMSI și cu standardul, precum și dacă SMSI este implementat și menținut în mod eficace. Programul de audit trebuie să ia în considerare importanța proceselor și rezultatele auditurilor anterioare, iar auditorii trebuie selectați astfel încât să se asigure obiectivitatea și imparțialitatea.

Un audit intern poate fi efectuat de angajați sau de un specialist extern angajat în acest scop. El nu emite un certificat: certificarea este o evaluare separată efectuată de un organism de certificare independent. Auditurile interne rămân parte a funcționării SMSI și după certificare, nu doar o pregătire pentru evaluarea inițială.

ISO 27001 nu prescrie o frecvență anuală universală a auditului intern. Ca recomandare practică, folosiți un calendar documentat care reflectă riscurile, modificările și constatările anterioare, cu o atenție mai frecventă acordată proceselor instabile sau critice.

Conveniți criteriile, limitele și responsabilitățile

Un audit individual nu trebuie să examineze totul simultan. Programul ar trebui să asigure acoperirea SMSI din domeniul definit pe parcursul ciclului planificat, în loc să inspecteze în mod repetat doar controalele familiare.

Documentați aceste decizii înainte de a solicita dovezi:

Anexa A nu este o cerință de a implementa fiecare control în mod identic. Verificați dacă deciziile privind aplicabilitatea și excluderile sunt justificate, apoi testați angajamentele pe care organizația și le-a asumat efectiv.

Alegeți auditori competenți care înțeleg atât cerințele sistemului de management, cât și controalele examinate. Evitați ca oamenii să-și auditeze propria muncă. Într-o echipă mică de inginerie, un auditor extern sau un evaluator din altă funcție poate rezolva conflictele, cu condiția să aibă suficientă competență și acces la dovezi.

Construiți dovezile în jurul întrebărilor operaționale

Începeți cu domeniul, evaluarea riscurilor, planul de tratare, Declarația de aplicabilitate, politicile, constatările anterioare și evidențele operaționale relevante. Acestea explică ce ar trebui să se întâmple și unde eșecurile ar conta cel mai mult.

Formulați apoi întrebări testabile. Pentru accesul privilegiat, întrebați dacă aprobările preced accesul, dacă revizuirile acoperă populația relevantă de conturi și dacă permisiunile revocate dispar efectiv. O politică de acces semnată stabilește intenția; exporturile de conturi, evidențele aprobărilor și jurnalele de eliminare stabilesc funcționarea.

Creați un plan de eșantionare care include modificările recente, serviciile critice, slăbiciunile anterioare și excepțiile. Consemnați populația, metoda de selecție, perioada și justificarea. Eșantionarea practică nu trebuie să folosească o singură dimensiune fixă a eșantionului, dar trebuie să poată fi explicată. Câteva capturi de ecran convenabile reprezintă rareori o întreagă perioadă de funcționare.

Triangulați evidențele cu interviuri și observații. Dacă responsabilii descriu o predare manuală, inspectați predări finalizate. Dacă dovezile contrazic un interviu, investigați, în loc să alegeți varianta mai liniștitoare. Consemnați limitările atunci când un sistem nu poate furniza dovezi istorice; nu deduceți tacit performanța trecută din configurația sa actuală.

Urmăriți un control printr-un exemplu practic

Ipoteze ilustrative: o companie SaaS auditează plecările angajaților pe o perioadă de trei luni. Procedura sa impune eliminarea accesului până la momentul plecării angajatului. Evidențele HR arată 12 plecări; auditorul îi examinează pe toți cei trei utilizatori privilegiați și alte patru plecări din echipe diferite.

Auditorul compară marcajele temporale ale plecărilor din HR cu evenimentele din furnizorul de identitate, starea conturilor din aplicații și tichetele de offboarding. Contul unui fost inginer din furnizorul de identitate a fost dezactivat la timp, dar un cont de repository gestionat separat a rămas activ timp de două zile.

Înainte de a încadra constatarea, stabiliți dacă respectivul cont se putea autentifica, ce permisiuni au rămas și dacă exista o excepție aprobată. Intervievați HR și responsabilul aplicației pentru a înțelege predarea. Extindeți testarea la alte plecări care implică aplicații gestionate separat dacă omisiunea pare sistemică.

O constatare care poate fi susținută identifică procedura încălcată, situația observată, evidențele justificative, domeniul afectat și consecința potențială. Ea nu ar trebui să afirme că a avut loc un acces neautorizat decât dacă dovezile susțin această concluzie.

Separați constatările de presupuneri

O neconformitate necesită dovezi că o cerință nu a fost îndeplinită. O oportunitate de îmbunătățire identifică o ameliorare utilă fără a demonstra o încălcare. O întrebare nerezolvată rămâne deschisă până când dovezi suficiente susțin o concluzie.

Folosiți clasificări consecvente și prioritizați constatările în funcție de expunere, recurență și amploare. Nu lăsați o etichetă de gravitate să înlocuiască raționamentul. Oferiți responsabililor de procese posibilitatea de a corecta erorile factuale, păstrând responsabilitatea auditorului pentru concluzie.

Raportul ar trebui să precizeze domeniul, criteriile, metodele, limitările, constatările și evaluarea generală susținută de munca efectuată.

Faceți din acțiunea corectivă mai mult decât o închidere

Un plan de acțiune ar trebui să identifice un responsabil, un termen, corecția imediată, cauza principală și schimbarea menită să prevină repetarea. Eliminarea contului de repository corectează acel caz. Remedierea inventarului incomplet al aplicațiilor și a predării de la HR către IT tratează procesul.

Evitați să acceptați „eroarea umană” drept cauză principală completă atunci când fluxul de lucru depinde de memorie sau nu are un responsabil. Definiți criteriile de eficacitate înainte de a închide acțiunea: de exemplu, plecările ulterioare trebuie să includă verificări reconciliate cu inventarul relevant al aplicațiilor.

Un tichet finalizat dovedește executarea, nu neapărat eficacitatea. După implementare, inspectați un alt eșantion și păstrați rezultatul verificării. Redeschideți acțiunea dacă același eșec se repetă.

Integrați rezultatele în management și în munca de zi cu zi

Raportați managementului relevant slăbiciunile recurente, acțiunile restante, nevoile de resurse și deciziile semnificative privind riscurile. Rezultatele auditului intern sunt o dată de intrare pentru analiza efectuată de management în temeiul ISO 27001; analiza este o activitate distinctă, cu alte date de intrare obligatorii, nu doar o ședință pentru aprobarea raportului de audit.

Secani leagă cerințele, dovezile, responsabilii, sarcinile și deciziile de revizuire, astfel încât evaluarea și acțiunile ulterioare să rămână în context. Păstrați evidențele justificative atașate controalelor relevante și păstrați aprobarea umană a concluziilor privind dovezile. Folosiți ghidul nostru privind pregătirea pentru audit pentru a organiza aceste evidențe înainte de activitatea de teren.

Un pas următor practic este să alegeți un proces critic, să desemnați un auditor imparțial și să redactați criteriile și planul său de eșantionare. Programați verificarea eficacității atunci când atribuiți acțiunile corective, nu după ce toată lumea le consideră încheiate.