Uma lista de verificação de auditoria interna da ISO 27001 é uma ferramenta útil para garantir que você marque todas as caixas de auditoria interna. Estamos a fornecer-lhe o seu próprio modelo de lista de verificação de auditoria interna ISO 27001, bem como algumas informações muito úteis sobre o processo de auditoria interna ISO 27001.
O que é uma auditoria interna da ISO 27001?
Pode-se assumir que uma auditoria interna é um pouco como um teste para o teste final – a auditoria externa – mas isso não é totalmente exato. Em seu artigo “Auditorias de certificação ISO 27001 versus auditorias internas de SGSI: The Difference is Important”, a Pivot Point Security descreve a diferença de forma sucinta:
“Simplificando, a auditoria interna do SGSI tem a ver com a validação da eficácia do SGSI por parte da gestão, enquanto a auditoria de certificação tem a ver com a validação, por parte do auditor, de que o seu SGSI está em conformidade com a norma.”
Isso resume tudo muito bem. Essencialmente, a auditoria interna da ISO 27001 é um processo intensivo que aborda a Cláusula 9.2. dos requisitos da norma ISO 27001. A cláusula 9.2 exige que você conduza auditorias internas regulares para verificar se o seu SGSI e os controles de segurança da informação do Anexo A estão em vigor e operando conforme esperado e exigido.
A auditoria interna é obrigatória para a ISO 27001?
Para obter a sua certificação ISO 27001, uma auditoria interna é, de facto, obrigatória. Sem ela, você não poderá passar para a próxima etapa do seu processo de certificação e, finalmente, para a sua auditoria externa. Também não será capaz de identificar não-conformidades e implementar melhorias.
E uma vez que (nas palavras da própria ISO) “As normas ISO são acordadas internacionalmente por especialistas. Pense nelas como uma fórmula que descreve a melhor forma de fazer alguma coisa”, quer ter a certeza de que também faz a sua certificação da melhor forma. Isso significa seguir os processos necessários, passo a passo (pormenorizadamente). Se o fizer, será certamente um dos muitos casos de sucesso da ISO 27001.
Além de realizar uma auditoria interna ISO 27001 porque é obrigatório fazê-lo para obter sua certificação, uma vez que você tenha seu certificado ISO 27001, você não pode simplesmente dizer adeus ao processo de auditoria interna. Auditorias regulares são necessárias para garantir que seu SGSI continue a atender aos requisitos da ISO 27001.
Manter o seu SGSI não é, no entanto, a única razão para efetuar auditorias regulares. Com auditorias regulares, é possível descobrir não-conformidades a tempo, manter um sistema de segurança forte e garantir a melhoria contínua.
Pode falhar numa auditoria ISO 27001?
Embora você possa obter muitas não-conformidades ou sugestões de melhorias durante sua auditoria interna da ISO 27001, você não pode realmente falhar nela. Ainda assim, é vital planejar sua auditoria interna. Naturalmente, um modelo de auditoria interna da ISO 27001 irá ajudá-lo a garantir que você cubra todas as evidências necessárias.
Em nosso artigo Exemplos de não-conformidades da ISO 27001: Maiores e Menores, falamos sobre não-conformidades que poderiam contribuir para que sua organização não obtivesse a certificação ISO 27001. É claro que, antes de chegar ao ponto da auditoria externa, você precisa primeiro marcar a caixa da auditoria interna. Há uma série de razões pelas quais você pode não se sair bem na sua auditoria interna da ISO 27001.
Vamos analisar 5 das principais causas de não-conformidade:
1. Falta de documentação obrigatória
O grande volume de documentação necessária para a ISO 27001 é uma das razões pelas quais as organizações evitam o processo. Mas com as actuais ferramentas online e plataformas automatizadas, manter o controlo e organizar a documentação tornou-se mais simples e fácil do que nunca
Com o clique de um botão, pode agora ver quais as provas que possui. O seu auditor terá acesso a uma lista de documentação que ele vai querer que você tenha na ponta dos dedos. Embora não exista uma lista oficial de documentos obrigatórios, há certos documentos que o auditor provavelmente solicitará
Estes incluem:
- Escopo do SGSI
- Política e objectivos da segurança da informação
- Metodologia de avaliação e tratamento de riscos
- Declaração de aplicabilidade
- Plano de tratamento de riscos
- Relatório de avaliação de risco
- Definição das funções e responsabilidades de segurança
- Inventário de activos
- Uso aceitável de activos
- Política de controlo de acessos
- Procedimentos operacionais para a gestão de TI
- Princípios de engenharia de sistemas seguros
- Política de segurança do fornecedor
- Procedimento de gestão de incidentes
- Procedimentos de continuidade de negócios
- Requisitos estatutários, regulamentares e contratuais
2. Não seguir os procedimentos
Agora, não estamos a falar de uma lista de procedimentos que outra pessoa forneceu. Estamos a falar dos seus próprios procedimentos, políticas e processos que serão definidos no seu SGSI.
Não só terá de estar a seguir todas as suas políticas, procedimentos e processos, como também os seus funcionários devem ter sido informados dos mesmos através de formação.
Precisa de se certificar de que as suas políticas e procedimentos estão documentados e ser capaz de localizar a documentação facilmente.
3. SGSI que não define suficientemente as questões externas e internas que afectam o objetivo da sua organização
As questões internas são quaisquer factores que estejam sob o controlo da sua organização e incluem:
- Estrutura organizacional
- Recursos disponíveis
- Drivers organizacionais
- Operações organizacionais
Os problemas externos são factores externos à sua empresa que podem impedir o seu sucesso. Embora não seja possível controlar os factores externos, é possível adaptar-se a eles. Alguns exemplos de factores externos são:
- Tendências do mercado e dos clientes
- Percepções e valores das partes interessadas externas
- Leis e regulamentos aplicáveis
- Condições políticas e económicas
- Tendências tecnológicas e inovações
4. Falha da gestão de topo em demonstrar o seu compromisso com a implementação do SGSI
A gestão de topo deve demonstrar liderança e empenho no que respeita ao SGSI através de:
- Assegurar que a política de segurança da informação e os objectivos de segurança da informação são estabelecidos e são compatíveis com a direção estratégica da organização
- Assegurar a integração dos requisitos do sistema de gestão da segurança da informação nos processos da organização
- Assegurar que os recursos necessários para o sistema de gestão da segurança da informação estão disponíveis
- Comunicar a importância de uma gestão eficaz da segurança da informação e da conformidade com os requisitos do sistema de gestão da segurança da informação
- Garantir que o sistema de gestão da segurança da informação atinja os resultados pretendidos
- Direcionar e apoiar pessoas que contribuam para a eficácia do sistema de gestão da segurança da informação
- Promover a melhoria contínua
5. Não atribuição de funções e responsabilidades pela segurança da informação
A segurança da informação e a gestão do SGSI são diferentes. Todos são responsáveis pela segurança da informação. É uma iniciativa que abrange toda a organização.
Cinco funções e responsabilidades típicas que pode querer atribuir são:
- Liderança em Segurança
- Gestão de Riscos de Segurança
- Auditoria Interna
- Proprietários de Controlo
- Treinamento de todos os funcionários
Custos de uma auditoria ISO 27001
De acordo com a Drata, “O custo de uma auditoria interna ISO 27001 para uma empresa de pequeno a médio porte custará de US$ 5.000 a US$ 15.000.” Ou seja, de € 4.676,80 a € 14.030,40.
Felizmente, há empresas que se dedicam especificamente às start-ups: A Compleye cobra cerca de 1.750 euros (aproximadamente 2 dias de trabalho, incluindo reunião de investigação), por exemplo.
Preparação de uma lista de controlo de auditoria ISO
A preparação da sua lista de verificação é um passo importante para garantir que está pronto para a sua auditoria. A lista de verificação é utilizada pelo auditor para avaliar se o seu SGSI cumpre os requisitos da ISO 27001. Para preparar a sua lista de verificação:
- Rever a documentação da ISO 27001
- Identificar os principais processos e procedimentos
- Avaliar se documentou o seu SGSI em conformidade com a norma
Depois de identificar os requisitos, é possível desenvolver uma lista de verificação para orientar o processo de auditoria. A lista de verificação deve ser clara e concisa, e incluir perguntas detalhadas para ajudar os auditores a avaliar a conformidade da sua organização.
Ao preparar uma lista de verificação de auditoria ISO abrangente e bem estruturada, demonstra o seu compromisso com a gestão da qualidade e assegura um processo de auditoria sem problemas.
Uma lista de verificação de auditoria interna ISO 27001 de alto nível & Modelo de lista de verificação de auditoria interna ISO 27001
Uma lista de verificação completa (gratuita) pode ser descarregada aqui, mas para lhe dar uma ideia do que a sua lista de verificação deve cobrir, fornecemos uma lista de verificação de auditoria interna ISO 27001 de alto nível abaixo.
- Responsabilidade da gestão: política e objectivos do SGSI, implementação e revisão pela gestão
- Gestão de activos: Identificação e classificação de activos, processo de proteção de activos
- Segurança dos recursos humanos: Políticas de segurança do pessoal, verificação de antecedentes dos empregados e processo de rescisão
- Segurança física e ambiental: Controlos de acesso físico e proteção contra ameaças ambientais
- Gestão de Comunicações e Operações: Cópia de segurança de dados e recuperação de desastres, software operacional e controlo de sistemas
- Controlo de acesso: Controlo de acesso de utilizadores e gestão de senhas, controlo de acesso a recursos de rede
- Aquisição, desenvolvimento e manutenção de sistemas de informação: Políticas de ciclo de vida de desenvolvimento de software, gestão de alterações de sistemas de informação
- Gestão de Incidentes de Segurança da Informação: Comunicação de incidentes, resposta a incidentes de segurança
- Gestão da continuidade do negócio: Planos de recuperação de desastres e continuidade do negócio, teste e manutenção do plano de continuidade do negócio
- Conformidade: Conformidade com requisitos legais e regulamentares, monitorização e garantia de conformidade contínua
O futuro dos controlos de auditoria interna
A grande notícia é que o futuro da auditoria interna da ISO 27001 é a auditoria em tempo real, onde as verificações de evidências serão 80% automatizadas e 20% manuais.A Compleye Online já deu um grande passo para automatizar sua certificação de conformidade e convidamos você a conferir nossa demonstração gratuita aqui.
