Notranja presoja ISO 27001, ki izboljša sistem

Notranja presoja organizaciji omogoča, da odkrije, kje se njen sistem upravljanja informacijske varnosti (ISMS) razlikuje od njenih namenov. Koristen rezultat je podprta ocena in jasna pot izboljšave za vsako bistveno ugotovitev – ne zgolj mapa posnetkov zaslona, pripravljenih za certifikacijo.

Za tehničnega vodjo je osrednje vprašanje, ali sistem deluje v resničnih storitvah, med ljudmi in pri predajah. Politika je lahko odobrena, medtem ko njena izvedba odpove. Presoja naj to razliko razkrije, ne da bi vsako operativno nepopolnost spremenila v nepodprto ugotovitev o skladnosti.

Ugotovite, kaj mora presoja dokazati

ISO/IEC 27001 v točki 9.2 zahteva notranje presoje v načrtovanih časovnih presledkih, s katerimi se oceni skladnost z zahtevami organizacije za ISMS in s standardom ter ali je ISMS učinkovito izveden in vzdrževan. Program presoj mora upoštevati pomembnost procesov in rezultate prejšnjih presoj, presojevalci pa morajo biti izbrani tako, da je zagotovljena objektivnost in nepristranskost.

Notranjo presojo lahko izvedejo zaposleni ali zunanji strokovnjak, angažiran v ta namen. Presoja ne izda certifikata: certificiranje je ločena ocena neodvisnega certifikacijskega organa. Notranje presoje ostajajo del delovanja ISMS tudi po certifikaciji, ne le priprava na začetno oceno.

ISO 27001 ne predpisuje splošne letne pogostosti notranjih presoj. Praktično priporočilo: uporabite dokumentiran načrt, ki odraža tveganja, spremembe in prejšnje ugotovitve, pri čemer nestabilnim ali ključnim procesom namenite pogostejšo pozornost.

Dogovorite se o merilih, mejah in odgovornostih

Posamezna presoja ni nujno, da preuči vse hkrati. Program naj v načrtovanem ciklu zagotovi pokritost ISMS v opredeljenem obsegu, namesto da vedno znova pregleduje le znane kontrole.

Preden zahtevate dokaze, dokumentirajte te odločitve:

Dodatek A ne zahteva, da se vsaka kontrola izvede enako. Preverite, ali so odločitve o uporabnosti in izključitve utemeljene, nato preizkusite zaveze, ki jih je organizacija dejansko sprejela.

Izberite usposobljene presojevalce, ki razumejo tako zahteve za sistem upravljanja kot preučevane kontrole. Izogibajte se temu, da bi ljudje presojali lastno delo. V majhni razvojni ekipi lahko navzkrižja razreši zunanji presojevalec ali medfunkcijski pregledovalec, če ima zadostno usposobljenost in dostop do dokazov.

Dokaze zgradite okoli operativnih vprašanj

Začnite z obsegom, oceno tveganj, načrtom obravnave, izjavo o uporabnosti, politikami, prejšnjimi ugotovitvami in ustreznimi operativnimi zapisi. Ti pojasnjujejo, kaj naj bi se zgodilo in kje bi bile odpovedi najpomembnejše.

Nato oblikujte preverljiva vprašanja. Pri privilegiranem dostopu se vprašajte, ali odobritve predhodijo dostopu, ali pregledi zajemajo ustrezno populacijo računov in ali preklicana dovoljenja dejansko izginejo. Podpisana politika dostopa izkazuje namen; izvozi računov, zapisi o odobritvah in dnevniki odstranitev izkazujejo delovanje.

Pripravite načrt vzorčenja, ki vključuje nedavne spremembe, ključne storitve, prejšnje slabosti in izjeme. Zabeležite populacijo, način izbire, obdobje in utemeljitev. Praktično vzorčenje ne potrebuje ene same fiksne velikosti vzorca, mora pa biti pojasnljivo. Nekaj priročnih posnetkov zaslona redko predstavlja celotno obdobje delovanja.

Zapise preverite z razgovori in opazovanjem. Če lastniki opisujejo ročno predajo, preglejte opravljene predaje. Če dokazi nasprotujejo razgovoru, raziščite, namesto da izberete bolj pomirjujočo razlago. Zabeležite omejitve, kadar sistem ne more zagotoviti zgodovinskih dokazov; preteklega delovanja ne sklepajte tiho iz trenutne konfiguracije.

Sledite eni kontroli na praktičnem primeru

Ponazoritvene predpostavke: podjetje SaaS presoja odhode zaposlenih v treh mesecih. Njegov postopek zahteva odstranitev dostopa do časa odhoda zaposlenega. Kadrovski zapisi kažejo 12 odhodov; presojevalec preuči vse tri privilegirane uporabnike in štiri dodatne odhode iz različnih ekip.

Presojevalec primerja časovne žige odhodov iz kadrovske službe z dogodki pri ponudniku identitet, stanjem računov v aplikacijah in zahtevki za odjavo. Račun nekdanjega inženirja pri ponudniku identitet je bil pravočasno onemogočen, ločeno upravljan račun v repozitoriju pa je ostal aktiven še dva dni.

Preden ugotovitev ocenite, ugotovite, ali se je račun lahko avtenticiral, katera dovoljenja so ostala in ali je obstajala odobrena izjema. Opravite razgovor s kadrovsko službo in lastnikom aplikacije, da razumete predajo. Če se zdi opustitev sistemska, razširite testiranje na druge odhode, ki vključujejo ločeno upravljane aplikacije.

Zagovorljiva ugotovitev navaja kršeni postopek, opaženo stanje, podporne zapise, prizadeti obseg in možno posledico. Ne bi smela trditi, da je prišlo do nepooblaščenega dostopa, razen če dokazi ta sklep podpirajo.

Ugotovitve ločite od predpostavk

Neskladnost zahteva dokaz, da zahteva ni bila izpolnjena. Priložnost za izboljšavo opredeli koristno izboljšavo, ne da bi dokazovala kršitev. Nerazrešeno vprašanje ostane odprto, dokler zadostni dokazi ne podprejo sklepa.

Uporabljajte dosledne razvrstitve in ugotovitve razvrstite po prednosti glede na izpostavljenost, ponavljanje in obseg. Ne dovolite, da oznaka resnosti nadomesti utemeljitev. Lastnikom procesov dajte možnost, da popravijo dejanske napake, pri čemer odgovornost za sklep ostane pri presojevalcu.

Poročilo naj navaja obseg, merila, metode, omejitve, ugotovitve in celotno oceno, ki jo podpira opravljeno delo.

Korektivni ukrep naj bo več kot zaprtje

Akcijski načrt naj navaja lastnika, rok, takojšnji popravek, temeljni vzrok in spremembo, ki naj prepreči ponovitev. Odstranitev računa v repozitoriju popravi ta primer. Odprava nepopolnega popisa aplikacij in predaje med kadrovsko službo in IT obravnava proces.

Ne sprejmite »človeške napake« kot celotnega temeljnega vzroka, kadar je delovni tok odvisen od spomina ali nima lastnika. Merila učinkovitosti opredelite, preden ukrep zaprete: na primer, poznejši odhodi morajo vključevati usklajena preverjanja glede na ustrezen popis aplikacij.

Zaključen zahtevek dokazuje izvedbo, ne nujno učinkovitosti. Po izvedbi preglejte nov vzorec in hranite rezultat preverjanja. Če se ista napaka ponovi, ukrep znova odprite.

Rezultate vključite v vodstvo in vsakodnevno delo

Ponavljajoče se slabosti, zapadle ukrepe, potrebe po virih in pomembne odločitve o tveganjih sporočite ustreznemu vodstvu. Rezultati notranje presoje so po ISO 27001 vhodni podatek za vodstveni pregled; pregled je ločena dejavnost z drugimi zahtevanimi vhodnimi podatki, ne zgolj sestanek za odobritev poročila o presoji.

Secani povezuje zahteve, dokaze, lastnike, naloge in odločitve o pregledih, tako da ocena in nadaljnje ukrepanje ostaneta v kontekstu. Podporne zapise imejte pripete k ustreznim kontrolam in ohranite človeško odobritev sklepov o dokazih. Z našim vodnikom o pripravljenosti na presojo te zapise organizirajte pred terenskim delom.

Praktičen naslednji korak je, da izberete en ključni proces, imenujete nepristranskega presojevalca in zapišete njegova merila in načrt vzorčenja. Preverjanje učinkovitosti načrtujte ob dodelitvi korektivnih ukrepov – ne šele potem, ko vsi menijo, da so končani.