Het belangrijkste doel van audits is het uitvoeren van onafhankelijke en systematische evaluaties van het ISMS en de informatiebeveiliging van een organisatie.
Audits helpen je verouderde onderdelen in je ISMS te vinden, die niet meer kloppen. Ze helpen je verbeterpunten te vinden en hiaten te identificeren. Ze zijn een methode om te zorgen voor continue verbetering en verantwoording met betrekking tot je informatiebeveiliging. Audits houden je eerlijk (als ze goed worden uitgevoerd).
Deze blogpost geeft een algemene inleiding tot informatiebeveiligingsaudits en een gedetailleerde doorloop van het ISO 27001-certificeringsauditproces.
Informatiebeveiligingsaudits zijn systematische evaluaties van de informatiebeveiliging van een organisatie. Ze kunnen specifieke systemen auditen of in het algemeen het beleid, de procedures en de controles van de organisatie rond informatiebeveiliging.
Audits zijn bedoeld om ervoor te zorgen dat de organisatie daadwerkelijk werkt volgens de gestelde eisen of gekozen best practices om haar informatie-assets te beveiligen.
Doelen van een informatiebeveiligingsaudit zijn meestal onder andere:
Audits kunnen intern worden uitgevoerd door bevoegde en bevoegde medewerkers (interne audit) of extern door onafhankelijke partners (externe audit). Sommige audits worden voornamelijk uitgevoerd vanuit het oogpunt van naleving (compliance audits) en andere vanuit een meer technisch oogpunt (technische audits), bijvoorbeeld gericht op specifieke datasystemen of onderwerpen (bijv. netwerkbeveiliging, applicatiebeveiliging).
De ISO 27001 certificeringsaudit is een specifieke informatiebeveiligingsaudit die wordt uitgevoerd door een geaccrediteerde auditor en volgens de auditrichtlijnen die zijn gedefinieerd in de ISO 27000 standaardserie.
Het doel van de ISO 27001-certificeringsaudit is om te controleren of het beheersysteem voor informatiebeveiliging (ISMS) van de organisatie voldoet aan de vereisten van de ISO 27001-norm.
Een ISO 27001-certificeringsaudit is een gestructureerd proces waarbij een externe certificeringsinstantie het ISMS van een organisatie beoordeelt aan de hand van de vereisten van de ISO/IEC 27001-norm. Er zijn meestal veel organisaties in elk land die zijn geaccrediteerd door
De eigenlijke audit wordt uitgevoerd in twee hoofdfasen: een voorafgaande beoordeling (Fase 1) en een gedetailleerde beoordeling (Fase 2). Daarnaast kan een organisatie optioneel een gereedheidsbeoordeling doorlopen voor de eigenlijke audit. Post-audit activiteiten zorgen er vervolgens voor dat het ISMS continu wordt verbeterd en goed wordt onderhouden.
Hieronder wordt in meer detail uitgelegd wat er in elke fase van de certificeringsaudit gebeurt.
Voordat de certificeringsaudit begint, moet de organisatie zich natuurlijk voorbereiden en ervoor zorgen dat ze op de juiste manier voldoen aan de ISO 27001-norm.
In een apart artikel kun je meer lezen over de belangrijkste stappen bij de implementatie van ISMS.
Een beoordeling van de gereedheid voor een ISO 27001-certificeringsaudit is een optionele, voorbereidende evaluatie die wordt uitgevoerd om te bepalen of een organisatie voldoende is voorbereid op de formele certificeringsaudit.
Deze beoordeling kan worden uitgevoerd door dezelfde auditor die de laatste delen van het proces zal uitvoeren.
Een gereedheidsbeoordeling kan helpen bij het identificeren van de grootste hiaten in het ISMS ten opzichte van de vereisten van ISO 27001.
Fase 1-audit wordt uitgevoerd om te beoordelen of de organisatie klaar is voor Fase 2 en om eventuele kritieke hiaten te identificeren.
Deze fase is vooral gericht op je belangrijkste ISMS-documentatie en kan ook op afstand worden uitgevoerd. De auditor beoordeelt een aantal belangrijke documenten om vast te stellen of de belangrijkste ISMS-processen aanwezig zijn en naar behoren functioneren.
De belangrijkste documenten die u gewoonlijk moet delen met een auditor tijdens een fase 1 ISO 27001-audit zijn onder andere
Aan het einde van de fase 1-audit geeft de auditor een lijst met bevindingen, waaronder belangrijke of minder belangrijke non-conformiteiten. Non-conformiteiten moeten worden verholpen met corrigerende maatregelen voordat er verder kan worden gegaan met het auditproces.
Fase 2-audit is het belangrijkste onderdeel van de certificeringsaudit. Deze wordt uitgevoerd om te bevestigen of het ISMS volledig is geïmplementeerd, effectief is en voldoet aan ISO 27001.
Deze fase wordt ter plaatse uitgevoerd, wat niet alleen relevant is voor het beter delen van informatie, maar ook voor het bevestigen van fysieke beveiligingscontroles.
In deze fase moet de auditor bewijs verzamelen dat u voldoet aan uw eigen ISMS-documentatie en aan de ISO 27001-norm. Om dit mogelijk te maken zal de auditor
Als belangrijkste resultaat van zijn werk zal de auditor:
Als er geen belangrijke afwijkingen meer worden gevonden, wordt de organisatie aanbevolen voor certificering.
Auditors verzamelen de resultaten van de audit in een auditrapport, waarin alle verschillende bevindingen worden uitgelegd en dat naar de gecontroleerden wordt gestuurd.
Nadat de eigenlijke certificeringsaudit is afgerond, zijn er nog enkele belangrijke dingen te doen:
We werken momenteel met ongeveer 600 organisaties via onze Cyberday ISMS app. We hebben gezien dat de eerste stappen op weg naar compliance variëren van een paar weken tot 12 maanden en alles daartussenin. En ja, er zijn ook initiatieven die nooit afgemaakt worden.
Doorgaans neemt het proces 3 tot 9 maanden in beslag. De belangrijkste factoren die de tijdlijn beïnvloeden zijn de complexiteit en omvang van je activiteiten, het huidige niveau van informatiebeveiliging, de middelen en expertise die je kunt inzetten voor het werk en de tools die worden gebruikt om het ISMS uit te voeren.
Aanvaardbaar uitgevoerde ISO 27001-certificeringsaudits hebben een duidelijke minimumduur voor de tijd die de audit in beslag moet nemen, zoals beschreven in de ISO 27000-standaardserie.
In een kleine organisatie (minder dan 10 werknemers) heb je in totaal 7-14 dagen auditiewerk nodig in één certificeringsperiode van 3 jaar. In een grote organisatie (10 000+ werknemers) zal het aantal ongeveer 50 dagen auditiewerk zijn in één certificeringsperiode van 3 jaar.
De directe kosten van een ISO 27001-certificeringsaudit zijn eenvoudig in te schatten als u kijkt naar de vraag hierboven over de duur van de audit. De belangrijkste kostenpost daar is wat u betaalt voor het werk van de auditor, waarbij een goede ruwe schatting 1000 € per dag is in de EU.
De directe rekening voor de auditorganisaties die de certificeringsaudit uitvoeren, varieert dus van € 10.000 tot € 50.000 voor de hele periode van 3 jaar, afhankelijk van de grootte van je organisatie.
De interne kosten (bijv. benodigde ISMS-werkzaamheden, personeelstijd, softwareoplossingen, andere technologische investeringen, benodigde training) zijn volledig afhankelijk van de mate waarin je begint met informatiebeveiliging.
De certificeringsaudit (of hercertificeringsaudit) wordt eens in de 3 jaar uitgevoerd. Surveillance-audits zijn kortere jaarlijkse audits die gedurende de resterende jaren worden uitgevoerd om continue verbetering en goed onderhoud van het ISMS te garanderen.
"Niet slagen" voor een ISO 27001 certificeringsaudit kan in principe betekenen dat de organisatie ten tijde van de audit niet voldeed aan alle vereisten van de norm en dat er dus enkele non-conformiteiten werden geïdentificeerd.
Hierna krijgt de organisatie de gelegenheid om de non-conformiteiten aan te pakken met corrigerende maatregelen en het certificeringsproces voort te zetten. Dit betekent dat er een correctief actieplan moet worden opgesteld en dat de correcties moeten worden geïmplementeerd. Voor grote non-conformiteiten moeten de correcties worden geverifieerd door de auditor. Voor kleine non-conformiteiten is alleen het verifiëren van het plan voldoende.
Als uit de follow-up van de corrigerende maatregelen blijkt dat aan de eisen wordt voldaan, kan de certificering worden toegekend.
Het is belangrijk om te begrijpen dat het certificeringsauditproces eigenlijk geen mislukking is. De auditor zal je alleen helpen bij het identificeren van non-conformiteiten, onderwerpen die je moet verbeteren. Zelfs als er non-conformiteiten worden vastgesteld (wat heel normaal is), heb je een to-do-lijst voor certificering en heb je je informatiebeveiliging verbeterd.
.png)
