Multe firme care pornesc spre certificarea ISO/IEC 27001 se concentrează pe politici și pe măsurile de securitate din Anexa A și lasă auditul intern pe final. Este o greșeală: fără un audit intern făcut corect, auditul de certificare nu poate fi trecut.
Ce spune standardul
ISO/IEC 27001 cere, la clauza 9.2, ca firma să efectueze audituri interne la intervale planificate. Scopul lor este să arate dacă sistemul de management al securității informației (SMSI):
- respectă cerințele firmei și cerințele standardului;
- este implementat și menținut efectiv, nu doar descris în documente.
Standardul mai cere un program de audit, cu frecvență, metode, responsabilități și raportare, criterii și perimetru definite pentru fiecare audit, auditori aleși astfel încât să fie obiectivi și imparțiali, raportarea rezultatelor către conducere și păstrarea dovezilor.
Cine poate face auditul intern
„Intern” se referă la faptul că auditul este al firmei, nu că trebuie făcut de un angajat. Auditul intern poate fi efectuat de o persoană externă, cu condiția să fie competentă, obiectivă și imparțială. Regula practică: nimeni nu își auditează propria muncă. Dacă un consultant a implementat SMSI-ul, altcineva ar trebui să îl auditeze.
Multe firme mici aleg un auditor extern tocmai pentru că nu au în echipă pe cineva care să nu fi participat la implementare.
Cum se desfășoară
Ghidul folosit de regulă pentru audituri este ISO 19011. Pe scurt, un audit intern trece prin:
- planificare: perimetrul, criteriile, calendarul și persoanele intervievate;
- analiza documentelor: politici, evaluarea riscurilor, Declarația de aplicabilitate, proceduri;
- verificarea în practică: interviuri, observații și dovezi că măsurile chiar funcționează, de exemplu jurnale de acces, backup-uri testate, instruiri documentate;
- constatări: neconformități, observații și oportunități de îmbunătățire, fiecare susținută de dovezi;
- raportul către conducere și planul de acțiuni corective.
Legătura cu certificarea
Certificarea este acordată numai de un organism de certificare acreditat, în două etape. În prima etapă, auditorul organismului verifică documentația și dacă firma este pregătită. În a doua etapă verifică dacă SMSI-ul funcționează efectiv. Printre lucrurile urmărite se află dovada că auditul intern (9.2) și analiza efectuată de management (9.3) au fost făcute.
După certificare, certificatul este valabil trei ani, cu audituri de supraveghere anuale. Auditurile interne continuă și ele, conform programului stabilit.
Greșeli frecvente
- auditul intern făcut de aceeași persoană care a scris procedurile;
- un audit care verifică doar existența documentelor, nu și aplicarea lor;
- constatări fără dovezi sau fără acțiuni corective urmărite;
- perimetru care nu acoperă toate cerințele standardului și măsurile aplicabile din Anexa A.
Auditul intern nu înseamnă certificare. Certificarea ISO/IEC 27001 poate fi acordată numai de un organism de certificare acreditat.