Jak przygotować się do audytu ISO 27001 lub audytu bezpieczeństwa informacji.
Zespół INTRAQ · · 5 min czytania
W SKRÓCIE
- Audytor sprawdza, czy zasady z dokumentów działają w praktyce.
- Najważniejsze są dowody: rejestry, raporty, protokoły i konfiguracje.
- Analiza ryzyka i deklaracja stosowania to dokumenty, które audytor przeczyta najdokładniej.
- Większość niezgodności dotyczy uprawnień, kopii zapasowych, szkoleń i dostawców.
Co sprawdza audytor
Podczas audytu ISO/IEC 27001 audytor ocenia, czy system zarządzania bezpieczeństwem informacji spełnia wymagania normy i czy zabezpieczenia działają. Najważniejsze słowo to dowód: audytor nie poprzestaje na procedurze, tylko prosi o pokazanie, że jest stosowana.
Dokumenty, które warto mieć przygotowane
- Zakres SZBI i polityka bezpieczeństwa informacji.
- Metodyka i wyniki analizy ryzyka oraz plan postępowania z ryzykiem.
- Deklaracja stosowania zabezpieczeń z uzasadnieniem wyłączeń.
- Ewidencja aktywów informacyjnych.
- Procedury: uprawnienia, incydenty, kopie zapasowe, zmiany, dostawcy.
- Raporty z poprzednich audytów wewnętrznych i przeglądu zarządzania.
Dowody, o które zapyta audytor
- Rejestr nadawania i odbierania uprawnień, w tym przy odejściu pracownika.
- Raporty z testów odtwarzania kopii zapasowych.
- Listy obecności lub potwierdzenia szkoleń pracowników.
- Rejestr incydentów i działań podjętych po incydentach.
- Umowy z dostawcami zawierające wymagania bezpieczeństwa.
- Zapisy z przeglądów uprawnień i aktualizacji systemów.
Jak przygotować pracowników
Audytor rozmawia z kierownictwem i pracownikami. Nie chodzi o recytowanie procedur, tylko o to, czy ludzie wiedzą, gdzie je znaleźć, jak zgłosić incydent i jakie zasady dotyczą ich stanowiska. Krótkie przypomnienie przed audytem i aktualne szkolenia znacznie ułatwiają rozmowy.
Najczęstsze niezgodności
- Nieaktualna analiza ryzyka.
- Brak testów odtwarzania kopii zapasowych.
- Konta byłych pracowników nadal aktywne.
- Brak potwierdzeń szkoleń.
- Brak wymagań bezpieczeństwa w umowach z dostawcami.
- Brak przeglądu zarządzania lub audytu wewnętrznego w danym roku.
Pytania i odpowiedzi
Czy przed certyfikacją trzeba przeprowadzić audyt wewnętrzny?
Tak. Norma ISO/IEC 27001 wymaga przeprowadzenia audytu wewnętrznego i przeglądu zarządzania przed audytem certyfikującym.
Co się dzieje, gdy audytor znajdzie niezgodność?
Organizacja przygotowuje plan działań korygujących. Przy audycie certyfikującym poważne niezgodności muszą zostać usunięte przed wydaniem certyfikatu.
Ile wcześniej zacząć przygotowania?
Najlepiej od audytu zerowego, który pokaże zakres prac. Na jego podstawie można realnie zaplanować harmonogram przed audytem certyfikującym lub kontrolą.