Interný audit ISO 27001, ktorý systém skutočne zlepšuje

Interný audit dáva organizácii príležitosť zistiť, kde sa jej systém riadenia informačnej bezpečnosti (ISMS) odchyľuje od jej zámerov. Užitočným výsledkom je podložené posúdenie a jasná cesta k zlepšeniu pri každom podstatnom zistení – nie len priečinok snímok obrazovky pripravený na certifikáciu.

Pre technického lídra je ústrednou otázkou, či systém funguje naprieč reálnymi službami, ľuďmi a odovzdávkami. Politika môže byť schválená, a pritom jej implementácia zlyháva. Audit by mal tento rozdiel odhaliť bez toho, aby z každej prevádzkovej nedokonalosti robil nepodložené zistenie o nesúlade.

Ujasnite si, čo musí audit preukázať

ISO/IEC 27001, článok 9.2, vyžaduje interné audity v plánovaných intervaloch, ktoré posudzujú zhodu s požiadavkami organizácie na ISMS a s normou, ako aj to, či je ISMS účinne implementovaný a udržiavaný. Program auditov musí zohľadňovať dôležitosť procesov a výsledky predchádzajúcich auditov, pričom audítori sa vyberajú tak, aby bola zaistená objektivita a nestrannosť.

Interný audit môžu vykonávať zamestnanci alebo externý špecialista angažovaný na tento účel. Nevydáva certifikát: certifikácia je samostatné posúdenie nezávislým certifikačným orgánom. Interné audity zostávajú súčasťou prevádzky ISMS aj po certifikácii, nie sú len prípravou na úvodné posúdenie.

ISO 27001 nepredpisuje univerzálnu ročnú frekvenciu interných auditov. Ako praktické odporúčanie používajte zdokumentovaný harmonogram, ktorý zohľadňuje riziká, zmeny a predchádzajúce zistenia, pričom nestabilným alebo kritickým procesom venujte pozornosť častejšie.

Dohodnite kritériá, hranice a zodpovednosti

Jednotlivý audit nemusí skúmať všetko naraz. Program by mal počas plánovaného cyklu pokryť ISMS v celom jeho rozsahu, namiesto opakovaného preverovania iba známych opatrení.

Tieto rozhodnutia zdokumentujte skôr, než si vyžiadate dôkazy:

Príloha A nie je požiadavkou implementovať každé opatrenie rovnakým spôsobom. Overte, či sú rozhodnutia o aplikovateľnosti a vylúčenia zdôvodnené, a potom testujte záväzky, ktoré organizácia skutočne prijala.

Vyberte kompetentných audítorov, ktorí rozumejú požiadavkám na systém riadenia aj preverovaným opatreniam. Vyhnite sa tomu, aby ľudia auditovali vlastnú prácu. V malom inžinierskom tíme môže konflikty vyriešiť externý audítor alebo posudzovateľ z iného útvaru, pokiaľ má dostatočnú kompetenciu a prístup k dôkazom.

Stavajte dôkazy okolo prevádzkových otázok

Začnite rozsahom, posúdením rizík, plánom ošetrenia rizík, vyhlásením o aplikovateľnosti, politikami, predchádzajúcimi zisteniami a relevantnými prevádzkovými záznamami. Tie vysvetľujú, čo sa má diať a kde by zlyhania mali najväčší dosah.

Potom sformulujte testovateľné otázky. Pri privilegovanom prístupe sa pýtajte, či schválenia predchádzajú pridelenie prístupu, či revízie pokrývajú relevantnú populáciu účtov a či odobraté oprávnenia skutočne zmiznú. Podpísaná politika prístupu dokladá zámer; exporty účtov, záznamy o schváleniach a logy o odobratí dokladajú prevádzku.

Vytvorte plán výberu vzoriek, ktorý zahŕňa nedávne zmeny, kritické služby, predchádzajúce slabiny a výnimky. Zaznamenajte populáciu, metódu výberu, obdobie a zdôvodnenie. Praktický výber vzoriek nemusí používať jednu pevnú veľkosť vzorky, musí sa však dať vysvetliť. Hŕstka pohodlne získaných snímok obrazovky len zriedka reprezentuje celé obdobie prevádzky.

Záznamy triangulujte s rozhovormi a pozorovaním. Ak vlastníci opisujú manuálnu odovzdávku, preverte dokončené odovzdávky. Ak dôkazy odporujú rozhovoru, prešetrite to, namiesto toho, aby ste si vybrali upokojujúcejšiu verziu. Ak systém nedokáže poskytnúť historické dôkazy, zaznamenajte toto obmedzenie; z jeho aktuálnej konfigurácie mlčky nevyvodzujte, ako fungoval v minulosti.

Sledujte jedno opatrenie na praktickom príklade

Ilustratívne predpoklady: SaaS spoločnosť audituje odchody zamestnancov za tri mesiace. Jej postup vyžaduje odobratie prístupov do momentu odchodu zamestnanca. Záznamy HR evidujú 12 odchodov; audítor preverí všetkých troch privilegovaných používateľov a štyri ďalšie odchody z rôznych tímov.

Audítor porovná časové pečiatky odchodov z HR s udalosťami v poskytovateľovi identít, stavom účtov v aplikáciách a tiketmi offboardingu. Účet bývalého inžiniera v poskytovateľovi identít bol deaktivovaný včas, no samostatne spravovaný účet v repozitári zostal aktívny ešte dva dni.

Pred ohodnotením zistenia zistite, či sa účet mohol autentifikovať, aké oprávnenia zostali a či existovala schválená výnimka. Urobte rozhovor s HR a vlastníkom aplikácie, aby ste pochopili odovzdávku. Ak sa opomenutie javí ako systémové, rozšírte testovanie na ďalšie odchody týkajúce sa samostatne spravovaných aplikácií.

Obhájiteľné zistenie identifikuje porušený postup, zistený stav, podporné záznamy, dotknutý rozsah a možný dôsledok. Nemalo by tvrdiť, že došlo k neoprávnenému prístupu, pokiaľ tento záver nepodporujú dôkazy.

Oddeľujte zistenia od predpokladov

Nezhoda si vyžaduje dôkaz, že požiadavka nebola splnená. Príležitosť na zlepšenie identifikuje užitočné vylepšenie bez preukázania porušenia. Nevyriešená otázka zostáva otvorená, kým záver nepodporí dostatok dôkazov.

Používajte konzistentné klasifikácie a zistenia prioritizujte podľa expozície, opakovania a šírky dopadu. Nedovoľte, aby označenie závažnosti nahradilo zdôvodnenie. Dajte vlastníkom procesov príležitosť opraviť faktické chyby, pričom zodpovednosť za záver zostáva na audítorovi.

Správa by mala uvádzať rozsah, kritériá, metódy, obmedzenia, zistenia a celkové posúdenie podložené vykonanou prácou.

Nech je nápravné opatrenie viac než uzavretím

Akčný plán by mal určiť vlastníka, termín, okamžitú nápravu, koreňovú príčinu a zmenu, ktorá má zabrániť opakovaniu. Odstránenie účtu v repozitári napraví tento jeden prípad. Oprava neúplného inventára aplikácií a odovzdávky medzi HR a IT rieši proces.

Neakceptujte „ľudskú chybu“ ako úplnú koreňovú príčinu, ak workflow závisí od pamäti alebo mu chýba vlastník. Pred uzavretím opatrenia definujte kritériá účinnosti: napríklad pri ďalších odchodoch sa musia vykonať zosúladené kontroly voči relevantnému inventáru aplikácií.

Dokončený tiket dokazuje vykonanie, nie nevyhnutne účinnosť. Po implementácii preverte ďalšiu vzorku a výsledok overenia uchovajte. Ak sa rovnaké zlyhanie zopakuje, opatrenie znovu otvorte.

Premietnite výsledky do manažmentu a každodennej práce

Opakujúce sa slabiny, opatrenia po termíne, potreby zdrojov a významné rozhodnutia o rizikách hláste príslušnému manažmentu. Výsledky interného auditu sú podľa ISO 27001 vstupom do preskúmania manažmentom; preskúmanie je samostatná činnosť s ďalšími povinnými vstupmi, nie len stretnutie na schválenie správy z auditu.

Secani prepája požiadavky, dôkazy, vlastníkov, úlohy a rozhodnutia z revízií, takže posudzovanie aj následné kroky zostávajú v kontexte. Podporné záznamy majte pripojené k relevantným opatreniam a zachovajte ľudské schvaľovanie záverov z dôkazov. Na usporiadanie týchto záznamov pred samotným auditom použite nášho sprievodcu pripravenosťou na audit.

Praktickým ďalším krokom je vybrať jeden kritický proces, určiť nestranného audítora a spísať kritériá a plán výberu vzoriek. Overenie účinnosti naplánujte už pri prideľovaní nápravných opatrení – nie až vtedy, keď ich všetci považujú za hotové.