Audit intern ISO/IEC 27001
Standardul cere un audit intern al sistemului de management al securității informației înainte de certificare și periodic după. Îl pot face eu, ca auditor extern independent, după metodologia ISO 19011.
Când aveți nevoie de el
- Înainte de auditul de certificare
- Organismul de certificare verifică dacă auditul intern și analiza efectuată de management au fost făcute. Fără ele, etapa a doua a certificării nu poate fi trecută.
- În fiecare an al ciclului de certificare
- Certificatul este valabil trei ani, cu audituri anuale de supraveghere. Programul de audit intern continuă și în această perioadă.
- După schimbări importante
- Reorganizări, sisteme noi, externalizări sau incidente care pot afecta sistemul de management.
Ce auditez
Verific atât cerințele de sistem, cât și măsurile de securitate pe care firma le-a declarat aplicabile:
- Clauzele 4–10: contextul și perimetrul, rolul conducerii, evaluarea și tratarea riscurilor, resursele și competențele, operarea, monitorizarea și îmbunătățirea.
- Anexa A: măsurile din Declarația de aplicabilitate, verificate cu dovezi din practică, nu doar din documente.
- Neconformitățile anterioare: dacă acțiunile corective au fost implementate și sunt eficiente.
Cum decurge concret un audit intern și ce greșeli apar des găsiți în articolul Auditul intern ISO 27001.
Imparțialitatea
Standardul cere ca auditorul să fie obiectiv și imparțial. În practică, asta înseamnă că nu pot audita o parte a sistemului pe care am implementat-o eu. Dacă vă ajut și la pregătirea sistemului, stabilesc de la început ce parte auditez eu și ce parte revine altcuiva.
Certificarea propriu-zisă este acordată numai de un organism de certificare acreditat. Auditul intern vă pregătește pentru ea, dar nu o înlocuiește.
Întrebări
Întrebările generale, despre preț, facturare și proces, sunt pe pagina principală.
Cât de des trebuie făcut auditul intern?
Standardul cere audituri „la intervale planificate”, stabilite în programul de audit al firmei. Cele mai multe firme acoperă întregul sistem cel puțin o dată pe an.
Puteți face și evaluarea inițială, înainte de implementare?
Da. O evaluare a diferențelor față de standard (gap analysis) arată de unde porniți. Este un serviciu separat de auditul intern și se face înainte ca sistemul să fie implementat.
Ce se întâmplă cu neconformitățile găsite?
Fiecare apare în raport cu dovezile ei. Firma stabilește acțiunile corective, iar la următorul audit verific dacă au fost implementate și dacă sunt eficiente.
Solicitați o ofertă pentru auditul intern
Scrieți-mi pe scurt ce aveți nevoie. Răspund cu întrebările de clarificare și cu pașii următori.