Eine Checkliste für interne Audits nach ISO 27001 ist ein praktisches Hilfsmittel, um sicherzustellen, dass Sie alle Kästchen des internen Audits abhaken. Wir stellen Ihnen Ihre eigene ISO 27001 Checkliste für interne Audits zur Verfügung, sowie einige sehr nützliche Informationen über den ISO 27001 Prozess für interne Audits.
Was ist ein internes Audit nach ISO 27001?
Man könnte annehmen, dass ein internes Audit so etwas wie ein Testlauf für die ultimative Prüfung – das externe Audit – ist, aber das ist nicht ganz richtig. In ihrem Artikel“ISO 27001 Zertifizierungsaudits gegenüber internen ISMS-Audits: The Difference is Important”, Pivot Point Security umreißt den Unterschied kurz und bündig:
“Einfach ausgedrückt geht es beim internen ISMS-Audit darum, dass das Management die Wirksamkeit des ISMS überprüft, während es beim Zertifizierungsaudit darum geht, dass der Auditor überprüft, ob Ihr ISMS mit der Norm konform ist.”
Das bringt es gut auf den Punkt. Im Wesentlichen ist das interne Audit nach ISO 27001 ein intensiver Prozess, der sich mit Abschnitt 9.2. der Anforderungen der ISO 27001-Norm befasst. Abschnitt 9.2. verlangt, dass Sie regelmäßig interne Audits durchführen, um zu überprüfen, ob Ihr ISMS und die Informationssicherheitskontrollen nach Anhang A vorhanden sind und wie erwartet und erforderlich funktionieren.
Ist ein internes Audit für ISO 27001 vorgeschrieben?
Um Ihre ISO 27001-Zertifizierung zu erhalten, ist ein internes Audit in der Tat obligatorisch. Ohne dieses Audit können Sie nicht zum nächsten Schritt des Zertifizierungsprozesses und schließlich zum externen Audit übergehen. Sie werden auch nicht in der Lage sein, Nichtkonformitäten zu identifizieren und Verbesserungen umzusetzen.
Und da (mit den Worten der ISO selbst)“ISO-Normen international von Experten vereinbart werden. Betrachten Sie sie als eine Formel, die den besten Weg beschreibt, etwas zu tun.” Sie wollen sicherstellen, dass Sie Ihre Zertifizierung auch auf die beste Weise durchführen. Das bedeutet, dass Sie die vorgeschriebenen Verfahren Schritt für Schritt (detailliert) einhalten. Wenn Sie das tun, werden Sie sicher eine der vielen ISO 27001Erfolgsgeschichten sein.
Neben der Durchführung eines internen Audits nach ISO 27001, die für die Erlangung der Zertifizierung obligatorisch ist, können Sie sich nach Erhalt des ISO 27001-Zertifikats nicht einfach aus dem internen Auditprozess verabschieden. Regelmäßige Audits sind notwendig, um sicherzustellen, dass Ihr ISMS weiterhin die Anforderungen der ISO 27001 erfüllt
Die Aufrechterhaltung Ihres ISMS ist jedoch nicht der einzige Grund für die Durchführung regelmäßiger Audits. Mit regelmäßigen Audits können Sie Nichtkonformitäten rechtzeitig aufdecken, ein starkes Sicherheitssystem aufrechterhalten und kontinuierliche Verbesserungen sicherstellen.
Kann man ein ISO 27001-Audit nicht bestehen?
Auch wenn Sie während Ihres internen ISO 27001-Audits viele Nichtkonformitäten oder Verbesserungsvorschläge erhalten, können Sie nicht wirklich durchfallen. Dennoch ist es unerlässlich, Ihr internes Audit zu planen. Eine Vorlage für ein internes Audit nach ISO 27001 hilft Ihnen dabei, alle erforderlichen Nachweise zu erbringen.
In unserem Artikel Beispiele für ISO 27001-Nichtkonformität: Major and Minor sprechen wir über Nichtkonformitäten, die dazu beitragen könnten, dass Ihre Organisation die ISO 27001-Zertifizierung nicht erhält. Bevor Sie zu einem externen Audit kommen, müssen Sie natürlich zuerst das Kästchen für das interne Audit ankreuzen. Es gibt eine Reihe von Gründen, warum Sie bei Ihrem internen ISO 27001-Audit nicht gut abschneiden könnten.
Lassen Sie uns einen Blick auf 5 der Hauptgründe für Nichtkonformität werfen:
1. Fehlende Pflichtdokumentation
Die schiere Menge an Dokumentation, die für ISO 27001 erforderlich ist, ist einer der Gründe, warum Organisationen vor diesem Prozess zurückschrecken. Mit den heutigen Online-Tools und automatisierten Plattformen ist es jedoch einfacher als je zuvor, den Überblick über die Dokumentation zu behalten und sie zu organisieren.
Mit einem einzigen Mausklick können Sie jetzt sehen, welche Nachweise Sie haben. Ihr Prüfer wird Zugang zu einer Liste von Unterlagen haben, die Sie zur Hand haben sollten. Es gibt zwar keine offizielleListe der obligatorischen Dokumente, aber es gibt bestimmte Dokumente, die Ihr Prüfer wahrscheinlich anfordern wird.
Dazu gehören:
- Geltungsbereich des ISMS
- Informationssicherheitspolitik und Ziele
- Risikobewertung und Methodik der Risikobehandlung
- Erklärung zur Anwendbarkeit
- Risikobehandlungsplan
- Risikobewertungsbericht
- Definition von Sicherheitsrollen und Verantwortlichkeiten
- Inventarisierung der Vermögenswerte
- Zulässige Verwendung von Vermögenswerten
- Zugangskontrollpolitik
- Betriebsverfahren für das IT-Management
- Grundsätze der sicheren Systemtechnik
- Sicherheitspolitik des Lieferanten
- Verfahren zum Umgang mit Vorfällen
- Verfahren zur Aufrechterhaltung des Geschäftsbetriebs
- Gesetzliche, regulatorische und vertragliche Anforderungen
2. Nichteinhaltung von Verfahren
Wir sprechen hier nicht von einer Liste von Verfahren, die jemand anderes bereitgestellt hat. Wir sprechen von Ihren eigenen Verfahren, Richtlinien und Prozessen, die in Ihrem ISMS definiert werden.
Nicht nur, dass Sie alle Ihre Richtlinien, Verfahren und Prozesse befolgen müssen, auch Ihre Mitarbeiter müssen durch Schulungen damit vertraut gemacht worden sein.
Sie müssen sicherstellen, dass Ihre Richtlinien und Verfahren dokumentiert sind und die Dokumentation leicht auffindbar ist.
3. ISMS, das die externen und internen Aspekte, die den Zweck Ihrer Organisation betreffen, nicht ausreichend definiert
Interne Aspekte sind alle Faktoren, die unter die Kontrolle Ihrer Organisation fallen und umfassen:
- Organisatorische Struktur
- Verfügbare Ressourcen
- Organisatorische Treiber
- Organisatorische Abläufe
Externe Faktoren sind Faktoren außerhalb Ihres Unternehmens, die Ihren Erfolg behindern könnten. Obwohl Sie externe Faktoren nicht kontrollieren können, können Sie sich an sie anpassen. Einige Beispiele für externe Faktoren sind:
- Markt- und Kundentrends
- Wahrnehmungen und Werte von externen Interessenten
- Anwendbare Gesetze und Vorschriften
- Politische und wirtschaftliche Bedingungen
- Technologische Trends und Innovationen
4. das Versäumnis der obersten Leitung, ihr Engagement für die Umsetzung des ISMS zu demonstrieren
Die oberste Leitung sollte Führung und Engagement in Bezug auf das ISMS demonstrieren durch:
- Sicherstellen, dass die Informationssicherheitspolitik und die Informationssicherheitsziele festgelegt werden und mit der strategischen Ausrichtung der Organisation vereinbar sind
- Sicherstellung der Integration der Anforderungen an das Informationssicherheitsmanagementsystem in die Prozesse der Organisation
- Sicherstellen, dass die für das Informationssicherheits-Managementsystem benötigten Ressourcen verfügbar sind
- Kommunikation der Bedeutung eines wirksamen Informationssicherheitsmanagements und der Einhaltung der Anforderungen an das Informationssicherheitsmanagementsystem
- Sicherstellen, dass das Informationssicherheits-Managementsystem seine beabsichtigten Ergebnisse erreicht
- Anleitung und Unterstützung von Personen, die zur Wirksamkeit des Informationssicherheits-Managementsystems beitragen
- Förderung der kontinuierlichen Verbesserung
5. Versäumnis, Rollen und Verantwortlichkeiten für die Informationssicherheit zuzuweisen
Informationssicherheit und ISMS-Management sind unterschiedlich. Jeder ist für die Informationssicherheit verantwortlich. Es ist eine organisationsweite Initiative.
Fünf typische Rollen und Verantwortlichkeiten, die Sie zuweisen sollten, sind:
- Sicherheitsführerschaft
- Sicherheitsrisikomanagement
- Interne Revision
- Kontrolleure
- Alle Mitarbeiterschulungen
Kosten für ein ISO 27001-Audit
Nach Angaben von Drata kosten “die Kosten für ein internes ISO 27001-Audit für ein kleines bis mittleres Unternehmen zwischen 5.000 und 15.000 Dollar.” Das sind 4.676,80 € bis 14.030,40 €.
Glücklicherweise gibt es Unternehmen, die sich speziell an Start-ups wenden: Compleye verlangt zum Beispiel rund 1.750 Euro (ca. 2 Tage Arbeit, inklusive Recherchegespräch).
Vorbereitung einer ISO-Audit-Checkliste
Die Vorbereitung Ihrer Checkliste ist ein wichtiger Schritt, um sicherzustellen, dass Sie auf Ihr Audit vorbereitet sind. Die Checkliste wird von Ihrem Auditor verwendet, um zu beurteilen, ob Ihr ISMS die Anforderungen der ISO 27001 erfüllt. So bereiten Sie Ihre Checkliste vor:
- Überprüfen Sie die ISO 27001 Dokumentation
- Identifizieren der wichtigsten Prozesse und Verfahren
- Bewerten Sie, ob Sie Ihr ISMS entsprechend der Norm dokumentiert haben
Nachdem Sie die Anforderungen ermittelt haben, können Sie eine Checkliste als Leitfaden für den Prüfungsprozess erstellen. Die Checkliste sollte klar und prägnant sein und detaillierte Fragen enthalten, die den Prüfern helfen, die Einhaltung der Vorschriften in Ihrem Unternehmen zu beurteilen
Indem Sie eine umfassende und gut strukturierte ISO-Audit-Checkliste erstellen, demonstrieren Sie Ihr Engagement für das Qualitätsmanagement und gewährleisten einen reibungslosen Auditprozess.
Checkliste für interne Audits nach ISO 27001 auf hohem Niveau & Vorlage für eine Checkliste für interne Audits nach ISO 27001
Eine vollständige (kostenlose) Checkliste kann hier heruntergeladen werden, aber um Ihnen eine Vorstellung davon zu geben, was Ihre Checkliste abdecken sollte, haben wir im Folgenden eine Checkliste für interne Audits nach ISO 27001 auf hohem Niveau bereitgestellt.
- Verantwortung des Managements: ISMS-Politik und -Ziele, Umsetzung und Überprüfung durch das Management
- Vermögensverwaltung: Identifizierung und Klassifizierung von Vermögenswerten, Vermögensschutzprozess
- Personalsicherheit: Personalsicherheitsrichtlinien, Überprüfung des Hintergrunds von Mitarbeitern und Kündigungsverfahren
- Physikalische und Umweltsicherheit: Physische Zugangskontrollen und Schutz vor Umweltbedrohungen
- Kommunikations- und Betriebsmanagement: Datensicherung und Notfallwiederherstellung, Betriebssoftware und Systemkontrolle
- Zugangskontrolle: Benutzerzugangskontrolle und Passwortverwaltung, Zugangskontrolle für Netzwerkressourcen
- Beschaffung, Entwicklung und Wartung von Informationssystemen: Richtlinien für den Lebenszyklus der Softwareentwicklung, Verwaltung von Änderungen an Informationssystemen
- Informationssicherheitsvorfallmanagement: Vorfallberichterstattung, Reaktion auf Sicherheitsvorfälle
- Business Continuity Management: Disaster Recovery und Business Continuity Pläne, Test und Wartung von Business Continuity Plänen
- Compliance: Einhaltung von Gesetzen und Vorschriften, laufende Überwachung und Sicherstellung der Einhaltung
Die Zukunft der Innenrevisionsprüfungen
Die gute Nachricht ist, dass die Zukunft des internen Audits nach ISO 27001 ein Echtzeit-Audit ist, bei dem die Überprüfung der Nachweise zu 80 % automatisiert und zu 20 % manuell erfolgen wird.Compleye Online hat bereits einen großen Schritt in Richtung Automatisierung Ihrer Compliance-Zertifizierung gemacht und wir laden Sie ein, unsere kostenlose Demo hier zu testen.
