Una lista di controllo per l’audit interno ISO 27001 è uno strumento utile per assicurarsi di spuntare tutte le caselle dell’audit interno. Vi forniamo il vostro modello di lista di controllo per l’audit interno ISO 27001, oltre ad alcune informazioni molto utili sul processo di audit interno ISO 27001.
Che cos’è un audit interno ISO 27001?
Si potrebbe pensare che un audit interno sia un po’ come una prova per il test finale, l’audit esterno, ma non è del tutto esatto. Nel loro articolo “Audit di certificazione ISO 27001 contro audit interni ISMS: La differenza è importante”, Pivot Point Security delinea la differenza in modo succinto:
“In parole povere, l’audit interno dell’ISMS riguarda la convalida dell’efficacia dell’ISMS da parte del management, mentre l’audit di certificazione riguarda la convalida da parte dell’auditor della conformità dell’ISMS allo standard”
Questo riassume bene il concetto. In sostanza, l’audit interno ISO 27001 è un processo intensivo che riguarda la clausola 9.2 dei requisiti della norma ISO 27001. La clausola 9.2 richiede di condurre audit interni regolari per verificare che il vostro ISMS e i controlli di sicurezza delle informazioni dell’Allegato A siano in atto e funzionino come previsto e richiesto.
L’audit interno è obbligatorio per la ISO 27001?
Per ottenere la certificazione ISO 27001, un audit interno è effettivamente obbligatorio. Senza di esso, non potrete passare alla fase successiva del processo di certificazione e, infine, all’audit esterno. Inoltre, non sarete in grado di identificare le non conformità e di implementare miglioramenti.
E poiché (secondo le parole della stessa ISO) “Gli standard ISO sono concordati a livello internazionale da esperti. Pensate a loro come a una formula che descrive il modo migliore di fare qualcosa”, anche voi volete assicurarvi di fare la vostra certificazione nel modo migliore. Ciò significa seguire i processi richiesti, passo dopo passo (dettagliato). Se lo farete, sarete sicuramente uno dei tanti casi di successo ISO 27001.
Oltre a condurre un audit interno ISO 27001 perché è obbligatorio farlo per ottenere la certificazione, una volta ottenuto il certificato ISO 27001, non si può semplicemente dire addio al processo di audit interno
Il mantenimento dell’ISMS non è però l’unica ragione per condurre audit regolari. Con audit regolari è possibile scoprire in tempo le non conformità, mantenere un sistema di sicurezza solido e garantire un miglioramento continuo.
È possibile fallire un audit ISO 27001?
Anche se durante l’audit interno ISO 27001 si possono ottenere molte non conformità o suggerimenti di miglioramento, non è possibile fallire davvero. Tuttavia, è fondamentale pianificare l’audit interno. Naturalmente, un modello di audit interno ISO 27001 vi aiuterà a garantire la copertura di tutte le evidenze necessarie.
Nel nostro articolo Esempi di non conformità ISO 27001: Sia maggiori che minori, parliamo delle non conformità che potrebbero contribuire al mancato raggiungimento della certificazione ISO 27001 da parte della vostra organizzazione. Naturalmente, prima di arrivare all’audit esterno, è necessario spuntare la casella dell’audit interno. Ci sono diversi motivi per cui potreste non ottenere buoni risultati nell’audit interno ISO 27001.
Ecco 5 delle principali cause di non conformità:
1. Documentazione obbligatoria mancante
La mole di documentazione richiesta per la ISO 27001 è una delle ragioni per cui le organizzazioni rifuggono dal processo. Ma con gli strumenti online e le piattaforme automatizzate di oggi, tenere traccia e organizzare la documentazione è diventato più semplice e facile che mai
Con un semplice clic, ora potete vedere quali prove avete. Il vostro revisore avrà accesso a un elenco di documenti che vorrà avere a portata di mano. Sebbene non esista un elenco ufficiale di documenti obbligatori, è probabile che il revisore richieda alcuni documenti.
Questi includono:
- Campo di applicazione dell’ISMS
- Politica e obiettivi di sicurezza delle informazioni
- Metodologia di valutazione e trattamento del rischio
- Dichiarazione di applicabilità
- Piano di trattamento del rischio
- Rapporto di valutazione del rischio
- Definizione dei ruoli e delle responsabilità di sicurezza
- Inventario dei beni
- Uso accettabile dei beni
- Politica di controllo degli accessi
- Procedure operative per la gestione dell’IT
- Principi di ingegneria del sistema sicuro Politica di sicurezza del fornitore
- Procedura di gestione degli incidenti
- Procedure di continuità aziendale Requisiti statutari, normativi e contrattuali
2. Mancato rispetto delle procedure
Non stiamo parlando di un elenco di procedure fornite da qualcun altro. Stiamo parlando delle vostre procedure, politiche e processi che saranno definiti nel vostro ISMS
Non solo dovrete seguire tutte le vostre politiche, procedure e processi, ma anche il vostro personale dovrà esserne a conoscenza attraverso la formazione.
Devi assicurarti che le tue politiche e procedure siano documentate e devi essere in grado di individuare facilmente la documentazione.
3. ISMS che non definisce sufficientemente le questioni esterne e interne che influenzano lo scopo della vostra organizzazione
Le questioni interne sono tutti i fattori che ricadono sotto il controllo della vostra organizzazione e comprendono
- Struttura organizzativa
- Risorse disponibili
- Driver organizzativi
- Operazioni organizzative
Le questioni esterne sono fattori esterni all’azienda che possono ostacolare il vostro successo. Sebbene non possiate controllare i fattori esterni, potete adattarvi ad essi. Alcuni esempi di fattori esterni sono:
- Tendenze del mercato e dei clienti
- Percezioni e valori delle parti interessate esterne
- Leggi e regolamenti applicabili
- Condizioni politiche ed economiche
- Tendenze e innovazioni tecnologiche
4. Mancata dimostrazione da parte dell’alta direzione del proprio impegno nell’implementazione dell’ISMS
L’alta direzione deve dimostrare leadership e impegno nei confronti dell’ISMS attraverso:
- Assicurarsi che la politica di sicurezza delle informazioni e gli obiettivi di sicurezza delle informazioni siano stabiliti e compatibili con la direzione strategica dell’organizzazione
- Assicurare l’integrazione dei requisiti del sistema di gestione della sicurezza delle informazioni nei processi dell’organizzazione
- Assicurare la disponibilità delle risorse necessarie per il sistema di gestione della sicurezza delle informazioni
- Comunicare l’importanza di una gestione efficace della sicurezza delle informazioni e della conformità ai requisiti del sistema di gestione della sicurezza delle informazioni
- Assicurare che il sistema di gestione della sicurezza delle informazioni raggiunga i risultati previsti
- Dirigere e supportare le persone che contribuiscono all’efficacia del sistema di gestione della sicurezza delle informazioni
- Promuovere il miglioramento continuo
5. Mancata assegnazione di ruoli e responsabilità per la sicurezza delle informazioni
La sicurezza delle informazioni e la gestione dell’ISMS sono diverse. Tutti sono responsabili della sicurezza delle informazioni. È un’iniziativa che coinvolge tutta l’organizzazione.
Cinque ruoli e responsabilità tipiche che potreste voler assegnare sono:
- Ladership della sicurezza
- Gestione del rischio di sicurezza
- Audit interno
- Proprietari del controllo
- Formazione di tutti i dipendenti
Costi di un audit ISO 27001
Secondo Drata, “Il costo di un audit interno ISO 27001 per un’azienda di piccole e medie dimensioni va da 5.000 a 15.000 dollari” Vale a dire da 4.676,80 a 14.030,40 euro
Per fortuna, ci sono aziende che si rivolgono specificamente alle start-up: Compleye, ad esempio, fattura circa 1.750 euro (circa 2 giorni di lavoro, incluso l’incontro investigativo)
Preparazione di una lista di controllo ISO
Preparare la lista di controllo è un passo importante per assicurarsi di essere pronti per l’audit. La lista di controllo viene utilizzata dall’auditor per valutare se il vostro ISMS soddisfa i requisiti della ISO 27001. Per preparare la lista di controllo:
- Vedere la documentazione ISO 27001
- Identificare i processi e le procedure chiave Valutare se avete documentato il vostro ISMS in linea con lo standard
Una volta identificati i requisiti, è possibile sviluppare una lista di controllo per guidare il processo di audit. La lista di controllo deve essere chiara e concisa e includere domande dettagliate per aiutare gli auditor a valutare la conformità della vostra organizzazione.
Preparando una lista di controllo per l’audit ISO completa e ben strutturata, dimostrate il vostro impegno nella gestione della qualità e garantite un processo di audit senza intoppi.
Un elenco di controllo di alto livello per l’audit interno ISO 27001 & Modello di elenco di controllo per l’audit interno ISO 27001
Una lista di controllo completa (gratuita) può essere scaricata qui, ma per darvi un’idea di ciò che la vostra lista di controllo dovrebbe coprire, abbiamo fornito una lista di controllo di audit interno ISO 27001 di alto livello qui sotto.
- Responsabilità della gestione: politica e obiettivi dell’ISMS, attuazione e riesame della gestione
- Gestione degli asset: Identificazione e classificazione degli asset, processo di protezione degli asset
- Gestione delle risorse: identificazione e classificazione delle risorse, processo di protezione delle risorse
- Sicurezza delle risorse umane: Politiche di sicurezza del personale, controllo dei precedenti dei dipendenti e processo di licenziamento
- Sicurezza fisica e ambientale: Controlli degli accessi fisici e protezione dalle minacce ambientali
- Gestione delle comunicazioni e delle operazioni: backup dei dati e disaster recovery, software operativo e controllo dei sistemi
- Controllo degli accessi: Controllo degli accessi degli utenti e gestione delle password, controllo degli accessi alle risorse di rete
- Acquisizione, sviluppo e manutenzione dei sistemi informativi: Politiche del ciclo di vita dello sviluppo del software, gestione delle modifiche ai sistemi informativi
- Gestione degli incidenti di sicurezza delle informazioni: Segnalazione degli incidenti, risposta agli incidenti di sicurezza
- Gestione della continuità aziendale: Piani di disaster recovery e continuità aziendale, test e manutenzione dei piani di continuità aziendale
- Compliance: Conformità ai requisiti legali e normativi, monitoraggio e garanzia della conformità in corso
Il futuro dei controlli di audit interno
La grande notizia è che il futuro dell’audit interno ISO 27001 è l’audit in tempo reale, dove i controlli delle evidenze saranno per l’80% automatizzati e per il 20% manuali. Compleye Online ha già fatto un enorme passo avanti verso l’automazione della vostra certificazione di conformità e vi invitiamo a dare un’occhiata alla nostra demo gratuita qui.
