Een ISO 27001 interne audit checklist is een handig hulpmiddel om ervoor te zorgen dat u alle vakjes voor de interne audit aankruist. Wij bieden u uw eigen ISO 27001 interne audit checklist sjabloon, evenals zeer nuttige informatie over het ISO 27001 interne auditproces.
Wat is een ISO 27001 interne audit?
U zou kunnen denken dat een interne audit een soort test is voor de ultieme test – de externe audit – maar dat is niet helemaal juist. In hun artikel “ISO 27001 Certificatie Audits Versus Interne ISMS Audits: The Difference is Important”, Pivot Point Security beschrijft het verschil bondig:
“Simpel gezegd gaat de interne ISMS-audit over het valideren door het management van de effectiviteit van het ISMS, terwijl de certificeringsaudit gaat over de auditor die valideert dat uw ISMS voldoet aan de norm.”
Dat vat het mooi samen. In essentie is de interne ISO 27001-audit een intensief proces dat zich richt op clausule 9.2 van de vereisten van de ISO 27001-norm. Clausule 9.2 vereist dat u regelmatig interne audits uitvoert om te controleren of uw ISMS en Bijlage A informatiebeveiligingscontroles aanwezig zijn en werken zoals verwacht en vereist.
Is interne audit verplicht voor ISO 27001?
Om uw ISO 27001-certificering te behalen, is een interne audit inderdaad verplicht. Zonder deze audit kunt u niet doorgaan naar de volgende stap van uw certificeringsproces en uiteindelijk naar uw externe audit. U zult ook niet in staat zijn om non-conformiteiten te identificeren en verbeteringen door te voeren.
En omdat (in de woorden van ISO zelf)“ISO-normen internationaal zijn overeengekomen door experts. Zie ze als een formule die de beste manier beschrijft om iets te doen.” Je wilt er zeker van zijn dat je je certificering ook op de beste manier uitvoert. Dat betekent stap voor stap de vereiste processen volgen. Als u dat doet, wordt u ongetwijfeld een van de vele ISO 27001 succesverhalen.
Naast het uitvoeren van een ISO 27001 interne audit omdat dit verplicht is voor het verkrijgen van uw certificering, kunt u, wanneer u eenmaal uw ISO 27001 certificaat heeft, het interne auditproces niet zomaar vaarwel zeggen. Regelmatige audits zijn noodzakelijk om ervoor te zorgen dat uw ISMS blijft voldoen aan de ISO 27001 vereisten.
Het onderhouden van je ISMS is echter niet de enige reden om regelmatig audits uit te voeren. Met regelmatige audits kunt u non-conformiteiten op tijd ontdekken, een sterk beveiligingssysteem handhaven en zorgen voor voortdurende verbetering.
Kan een ISO 27001 audit mislukken?
Hoewel u veel non-conformiteiten of suggesties voor verbeteringen kunt krijgen tijdens uw ISO 27001 interne audit, kunt u er niet echt voor zakken. Toch is het belangrijk om uw interne audit goed te plannen. Natuurlijk zal een ISO 27001 interne audit sjabloon u helpen om ervoor te zorgen dat u al het noodzakelijke bewijs afdekt.
In ons artikel ISO 27001 Non-Conformance Voorbeelden: Zowel Major als Minor, bespreken we non-conformiteiten die ertoe kunnen bijdragen dat uw organisatie de ISO 27001-certificering niet behaalt. Voordat u aan een externe audit toekomt, moet u natuurlijk eerst de interne audit aanvinken. Er zijn een aantal redenen waarom u het niet goed zou kunnen doen tijdens uw interne ISO 27001-audit.
Laten we eens kijken naar 5 van de belangrijkste oorzaken van non-conformiteit:
1. Ontbrekende verplichte documentatie
De enorme hoeveelheid documentatie die nodig is voor ISO 27001 is een van de redenen waarom organisaties terugschrikken voor het proces. Maar met de huidige online tools en geautomatiseerde platforms is het bijhouden en organiseren van documentatie eenvoudiger dan ooit tevoren geworden.
Met één druk op de knop kun je nu zien welk bewijs je hebt. Je auditor heeft toegang tot een lijst met documentatie die hij bij de hand wil hebben. Hoewel er geen officiële lijst met verplichte documenten is, zijn er bepaalde documenten die je auditor waarschijnlijk zal opvragen.
Deze omvatten:
- Omvang van het ISMS
- Beleid en doelstellingen voor informatiebeveiliging
- Risicobeoordeling en risicobehandelingsmethodologie
- Verklaring van Toepasselijkheid
- Risicobehandelingsplan
- Risicobeoordelingsverslag
- Definitie van beveiligingsrollen en verantwoordelijkheden
- Inventaris van bedrijfsmiddelen
- Aanvaardbaar gebruik van bedrijfsmiddelen
- Beleid voor toegangscontrole
- Bedrijfsprocedures voor IT-beheer
- Beginselen voor veilige systeemengineering
- Beveiligingsbeleid leverancier
- Procedure voor beheer van incidenten
- Procedures bedrijfscontinuïteit
- Wettelijke, reglementaire en contractuele vereisten
2. Het niet volgen van procedures
Nu hebben we het niet over een lijst met procedures die iemand anders heeft verstrekt. We hebben het over uw eigen procedures, beleid en processen die worden vastgelegd in uw ISMS.
Niet alleen moet u al uw beleid, procedures en processen volgen, maar uw personeel moet er ook van op de hoogte zijn gebracht door middel van training.
Je moet ervoor zorgen dat je beleid en procedures gedocumenteerd zijn en dat je de documentatie gemakkelijk kunt terugvinden.
3. ISMS dat externe en interne problemen die van invloed zijn op het doel van uw organisatie niet voldoende definieert
Interne kwesties zijn alle factoren die onder de controle van uw organisatie vallen en omvatten:
- Organisatiestructuur
- Beschikbare middelen
- Organisatorische drijfveren
- Organisatorische activiteiten
Externe factoren zijn factoren buiten je bedrijf die je succes kunnen belemmeren. Hoewel je externe factoren niet kunt beheersen, kun je je er wel aan aanpassen. Enkele voorbeelden van externe factoren zijn:
- Trends in de markt en bij klanten
- Perscepties en waarden van externe belanghebbenden
- Toepasselijke wet- en regelgeving
- Politieke en economische omstandigheden
- Technologische trends en innovaties
4. Falen van het topmanagement om hun betrokkenheid bij de implementatie van ISMS te tonen
Het topmanagement moet leiderschap en betrokkenheid tonen met betrekking tot het ISMS door:
- Ervoor zorgen dat het informatiebeveiligingsbeleid en de informatiebeveiligingsdoelstellingen zijn vastgesteld en verenigbaar zijn met de strategische richting van de organisatie
- Zorgdragen voor de integratie van de eisen van het beheersysteem voor informatiebeveiliging in de processen van de organisatie
- Ervoor zorgen dat de middelen die nodig zijn voor het beheersysteem voor informatiebeveiliging beschikbaar zijn Het belang bekendmaken van effectief informatiebeveiligingsbeheer en van het voldoen aan de eisen van het informatiebeveiligingsbeheersysteem
- Ervoor zorgen dat het managementsysteem voor informatiebeveiliging de beoogde resultaten bereikt
- Het aansturen en ondersteunen van personen om bij te dragen aan de effectiviteit van het beheersysteem voor informatiebeveiliging
- Bevorderen van voortdurende verbetering
5. Het niet toewijzen van rollen en verantwoordelijkheden voor informatiebeveiliging
Informatiebeveiliging en ISMS-beheer zijn verschillend. Iedereen is verantwoordelijk voor informatiebeveiliging. Het is een organisatiebreed initiatief.
Vijf typische rollen en verantwoordelijkheden die je zou kunnen toewijzen zijn:
- Veiligheidsleiderschap
- Risicobeheer beveiliging
- Interne audit
- Controleurs
- Alle medewerkers training
Kosten van een ISO 27001 audit
Volgens Drata “De kosten van een ISO 27001 interne audit voor een klein tot middelgroot bedrijf bedragen $5.000 tot $15.000.” Dat is € 4.676,80 tot € 14.030,40.
Gelukkig zijn er bedrijven die zich specifiek op startende bedrijven richten: Compleye rekent bijvoorbeeld rond de €1.750 (ongeveer 2 dagen werk, inclusief onderzoeksgesprek).
Opstellen van een ISO audit checklist
Het opstellen van je checklist is een belangrijke stap om ervoor te zorgen dat je klaar bent voor je audit. De checklist wordt door uw auditor gebruikt om te beoordelen of uw ISMS voldoet aan de vereisten van ISO 27001. Om uw checklist voor te bereiden:
- Bekijk de ISO 27001 documentatie
- Bepaal de belangrijkste processen en procedures
- Beoordeel of u uw ISMS hebt gedocumenteerd in overeenstemming met de norm.
Wanneer je de vereisten hebt geïdentificeerd, kun je een checklist ontwikkelen om het auditproces te begeleiden. De checklist moet duidelijk en beknopt zijn en gedetailleerde vragen bevatten om auditors te helpen beoordelen of je organisatie aan de eisen voldoet.
Door een uitgebreide en goed gestructureerde ISO audit checklist op te stellen, laat je zien dat je toegewijd bent aan kwaliteitsmanagement en zorg je voor een soepel auditproces.
Een high level ISO 27001 interne audit checklist & ISO 27001 internal audit checklist template
Een volledige (gratis) checklist kan worden gedownload hier, maar om u een idee te geven van wat uw checklist zou moeten omvatten, hebben we hieronder een high-level ISO 27001 interne audit checklist opgenomen.
- Managementverantwoordelijkheid: ISMS beleid en doelstellingen, implementatie en managementbeoordeling
- Beheer van bedrijfsmiddelen: Identificatie en classificatie van bedrijfsmiddelen, proces voor bescherming van bedrijfsmiddelen
- Human resources beveiliging: Personeelsbeveiligingsbeleid, antecedentenonderzoek en ontslagproces
- Fysieke en omgevingsbeveiliging: Fysieke toegangscontrole en bescherming tegen omgevingsbedreigingen
- Communicatie en operationeel beheer: Back-up van gegevens en noodherstel, operationele software en systeemcontrole
- Toegangsbeheer: Toegangsbeheer gebruikers en wachtwoordbeheer, toegangsbeheer netwerkbronnen
- Aankoop, ontwikkeling en onderhoud van informatiesystemen: Beleid voor levenscyclus van softwareontwikkeling, beheer van wijzigingen in informatiesystemen
- Informatiebeveiligingsincidentbeheer: Incidentrapportage, reactie op beveiligingsincidenten
- Business Continuity Management:Rampherstel en bedrijfscontinuïteitsplannen, bedrijfscontinuïteitsplan testen en onderhouden
- Compliance: Naleving van wet- en regelgeving, voortdurende controle en verzekering van naleving
De toekomst van interne auditcontroles
Het goede nieuws is dat de toekomst van ISO 27001 interne audit real-time audit is waarbij bewijscontroles voor 80% geautomatiseerd zullen zijn en voor 20% handmatig. Compleye Online heeft al een grote stap gezet in het automatiseren van uw compliance certificering en we nodigen u uit om onze gratis demo hier te bekijken.
