En tjekliste for intern ISO 27001-audit er et praktisk værktøj til at sikre, at du sætter kryds i alle felterne for intern audit. Vi giver dig din helt egen skabelon til tjekliste for intern ISO 27001-audit samt nogle meget nyttige oplysninger om den interne ISO 27001-auditproces.
Hvad er en intern ISO 27001-audit?
Man kunne tro, at en intern audit er en slags testkørsel for den ultimative test – den eksterne audit – men det er ikke helt korrekt. I deres artikel “ISO 27001 Certification Audits Versus Internal ISMS Audits: The Difference is Important”, skitserer Pivot Point Security kortfattet forskellen:
“Kort sagt handler den interne ISMS-audit om, at ledelsen validerer ISMS’ets effektivitet, mens certificeringsauditten handler om, at auditøren validerer, at dit ISMS er i overensstemmelse med standarden.”
Det opsummerer det fint. I bund og grund er den interne ISO 27001-audit en intensiv proces, der adresserer paragraf 9.2 i ISO 27001-standardens krav. Paragraf 9.2 kræver, at du gennemfører regelmæssige interne audits for at kontrollere, at dit ISMS og bilag A’s informationssikkerhedskontroller er på plads og fungerer som forventet og krævet.
Er intern audit obligatorisk for ISO 27001?
For at opnå din ISO 27001-certificering er en intern audit faktisk obligatorisk. Uden den kan du ikke gå videre til næste trin i din certificeringsproces og i sidste ende din eksterne audit. Du vil heller ikke være i stand til at identificere afvigelser og implementere forbedringer.
Og da (med ISO’s egne ord)“ISO-standarder er internationalt aftalt af eksperter. Tænk på dem som en formel, der beskriver den bedste måde at gøre noget på”, så vil du også gerne sikre dig, at du udfører din certificering på den bedste måde. Det betyder, at du skal følge de påkrævede processer, trin for (detaljeret) trin. Hvis du gør det, vil du helt sikkert blive en af de mange ISO 27001succeshistorier.
Ud over at gennemføre en intern ISO 27001-audit, fordi det er obligatorisk at gøre det for at opnå din certificering, kan du ikke bare vinke farvel til den interne auditproces, når du har dit ISO 27001-certifikat. Regelmæssige audits er nødvendige for at sikre, at dit ISMS fortsat opfylder ISO 27001-kravene.
Opbevaring af dit ISMS er dog ikke den eneste grund til at gennemføre regelmæssige audits. Med regelmæssige audits kan du afdække afvigelser i tide, holde et stærkt sikkerhedssystem på plads og sikre løbende forbedringer.
Kan man dumpe en ISO 27001-audit?
Selv om du måske får mange afvigelser eller forslag til forbedringer under din interne ISO 27001-audit, kan du faktisk ikke dumpe den. Alligevel er det vigtigt at planlægge din interne audit. Naturligvis vil en ISO 27001 intern audit-skabelon hjælpe dig med at sikre, at du dækker alle nødvendige beviser.
I vores artikel ISO 27001 Eksempler på afvigelser: Både større og mindre, taler vi om afvigelser, der kan bidrage til, at din organisation ikke opnår ISO 27001-certificering. Før du kommer til punktet med ekstern audit, skal du selvfølgelig først sætte kryds i boksen for intern audit. Der er en række grunde til, at du måske ikke klarer dig godt i din interne ISO 27001-audit.
Lad os se på 5 af de vigtigste årsager til manglende overensstemmelse:
1. Mangler obligatorisk dokumentation
Den store mængde dokumentation, der kræves til ISO 27001, er en af grundene til, at organisationer viger tilbage fra processen. Men med nutidens onlineværktøjer og automatiserede platforme er det blevet enklere og lettere at holde styr på og organisere dokumentationen end nogensinde før.
Med et enkelt klik på en knap kan du nu se, hvilken dokumentation du har. Din revisor vil have adgang til en liste over dokumentation, som de gerne vil have, at du har lige ved hånden. Selvom der ikke findes en officielliste over obligatoriske dokumenter, er der visse dokumenter, som din revisor sandsynligvis vil bede om.
Disse omfatter:
- Omfanget af ISMS
- Informationssikkerhedspolitik og -mål
