ISO 27001 audit: wat gebeurt er tijdens de audit?

Eerst het onderscheid: interne audit en certificatie-audit

Binnen ISO 27001 kom je verschillende audits tegen.

Interne audit

De interne audit is onderdeel van je eigen managementsysteem.

Daarmee onderzoek je vóór de certificerende instelling langskomt of:

• afspraken goed zijn ingericht;
• processen worden uitgevoerd;
• bewijs beschikbaar is;
• afwijkingen worden herkend;
• verbeteringen worden opgevolgd.

De auditor moet voldoende onafhankelijk zijn van het werk dat wordt beoordeeld.

Een interne audit is dus geen generale repetitie waarbij je alleen probeert te voorspellen welke vragen de certificerende auditor gaat stellen.

Het is een eigen controle-instrument.

Certificatie-audit

De certificatie-audit wordt uitgevoerd door een onafhankelijke certificerende instelling.

Bij een eerste certificering bestaat die doorgaans uit twee fasen:

1. fase 1;
2. fase 2.

Na certificering volgen periodieke surveillance-audits en uiteindelijk hercertificering.

Wat gebeurt er tijdens fase 1?

Fase 1 draait vooral om de vraag:

is de organisatie voldoende voorbereid op de diepere certificatie-audit?

De auditor kijkt onder andere naar:

• scope;
• context;
• ISMS-opzet;
• relevante documentatie;
• risicoanalyse;
• risicobehandeling;
• Statement of Applicability;
• interne audit;
• directiebeoordeling;
• mate waarin het systeem is ingevoerd.

Fase 1 is belangrijk omdat hiermee wordt beoordeeld of fase 2 zinvol kan plaatsvinden.

Wat wil de auditor begrijpen?

Niet alleen of documenten bestaan.

De auditor wil begrijpen:

• waarom de scope zo is gekozen;
• welke risico's belangrijk zijn;
• hoe maatregelen zijn geselecteerd;
• wie verantwoordelijk is;
• hoe prestaties worden gevolgd;
• hoe de organisatie leert en verbetert.

Een map met documenten zonder duidelijk verhaal werkt daarom minder overtuigend dan een relatief compact ISMS waarvan medewerkers begrijpen hoe het in elkaar zit.

Wat gebeurt er tussen fase 1 en fase 2?

Als fase 1 aandachtspunten oplevert, is er tijd nodig om die op te pakken.

Dat kunnen bijvoorbeeld vragen zijn over:

• scope;
• ontbrekende onderdelen;
• onvoldoende uitgevoerde interne audit;
• directiebeoordeling;
• onduidelijke risicoanalyse;
• onvoldoende bewijs van implementatie.

Gebruik die periode gericht.

Ga niet ineens tientallen documenten herschrijven als de kernvraag ergens anders ligt.

Mijn voorkeur is om per punt vast te stellen:

1. wat heeft de auditor feitelijk gezien;
2. welk risico of normonderdeel zit erachter;
3. welke verbetering is nodig;
4. welk bewijs laat straks zien dat het is opgelost?

Wat gebeurt er tijdens fase 2?

Fase 2 gaat veel verder de praktijk in.

De auditor onderzoekt of het managementsysteem daadwerkelijk functioneert.

Dat gebeurt bijvoorbeeld door:

• interviews;
• steekproeven;
• documentonderzoek;
• controle van registraties;
• beoordeling van uitgevoerde controles;
• opvolging van risico's;
• bekijken van incidenten;
• beoordelen van leveranciersbeheer;
• controleren van toegangsbeheer;
• bewijs van monitoring en verbetering.

De precieze onderwerpen hangen af van de scope en de organisatie.

Welke mensen spreekt een ISO 27001-auditor?

Vaak meer mensen dan alleen de securitymanager.

Denk aan:

• directie;
• IT;
• HR;
• inkoop;
• facility;
• privacy;
• proceseigenaren;
• leveranciersmanagement;
• medewerkers met specifieke beheertaken.

Dat is logisch.

Als informatiebeveiliging alleen door één persoon kan worden uitgelegd, is de borging kwetsbaar.

Een auditor wil zien dat verantwoordelijkheden in de organisatie landen.

Welke vragen stelt een auditor?

De exacte vragen verschillen.

Toch komt de manier van vragen vaak op hetzelfde neer.

“Laat eens zien hoe dit werkt.”

Wanneer in beleid staat dat toegangsrechten ieder kwartaal worden beoordeeld, kan de auditor vragen:

• wie de laatste review heeft uitgevoerd;
• wanneer;
• welke afwijkingen zijn gevonden;
• wat daarmee is gebeurd;
• welk bewijs daarvan bestaat.

“Waarom hebben jullie hiervoor gekozen?”

Bij risico's en controls is onderbouwing belangrijk.

Waarom geldt een maatregel wel voor systeem A en niet voor systeem B?

Waarom is een risico geaccepteerd?

Waarom valt een vestiging buiten scope?

“Wat gebeurde er de laatste keer?”

Dat is een sterke auditvraag.

Bijvoorbeeld:

• wanneer was het laatste incident;
• wanneer is de laatste restore uitgevoerd;
• wanneer is de laatste medewerker uit dienst gegaan;
• wanneer is de laatste leverancier beoordeeld.

Daarmee komt de audit snel bij de feitelijke werking.

Welke bewijsstukken zijn handig?

Denk bijvoorbeeld aan:

• risicoregister;
• Statement of Applicability;
• beleid;
• besluiten;
• incidentregistraties;
• accountreviews;
• back-uprapportages;
• restore-tests;
• kwetsbaarhedenrapportages;
• leveranciersbeoordelingen;
• awarenessregistraties;
• change-tickets;
• auditrapporten;
• directiebeoordeling;
• verbeterregister.

Mijn advies is om bewijs niet speciaal voor de audit te verzamelen als dat te voorkomen is.

Richt processen zo in dat bewijs ontstaat tijdens het gewone werk.

Dan kost de auditvoorbereiding veel minder energie.

Wat is een afwijking?

Wanneer een auditor vaststelt dat niet aan een relevante eis wordt voldaan, kan een afwijking worden geregistreerd.

De precieze classificatie en terminologie hangen af van de certificerende instelling en de situatie.

Belangrijker dan het label is wat je ermee doet.

Een goede oorzaakanalyse kijkt verder dan:

“Medewerker vergeten.”

Vraag:

• waarom kon dit gebeuren;
• waarom zag de normale controle het niet;
• is dit een eenmalig geval of structureel;
• welke aanpassing voorkomt herhaling;
• hoe toetsen we of die aanpassing werkt?

Dat maakt een afwijking onderdeel van verbetering.

Moet alles perfect zijn?

Nee.

ISO 27001 gaat over een werkend managementsysteem en voortdurende verbetering.

Een organisatie mag dus verbeterpunten hebben.

Het wordt problematisch wanneer belangrijke eisen niet zijn ingericht, risico's onvoldoende worden beheerst of de organisatie niet kan aantonen dat het ISMS in de praktijk functioneert.

Ik vind het meestal sterker wanneer een organisatie open kan uitleggen:

• waar een zwakte zit;
• welk risico daarbij hoort;
• wie eigenaar is;
• welke verbetering loopt;
• wanneer die klaar moet zijn.

Dat getuigt van beheersing.

Wat verwacht een auditor van directie?

De directie heeft een echte rol binnen het ISMS.

Dat moet ook zichtbaar zijn.

Denk aan:

• richting geven;
• informatiebeveiliging koppelen aan organisatiedoelen;
• verantwoordelijkheden organiseren;
• middelen beschikbaar stellen;
• risico's beoordelen;
• prestaties volgen;
• directiebeoordeling uitvoeren;
• verbeteringen ondersteunen.

Een directielid hoeft niet alle controls uit het hoofd te kennen.

Wel moet duidelijk zijn dat informatiebeveiliging bestuurlijk wordt aangestuurd.

Wat verwacht een auditor van de IT-manager?

Voor de IT-manager ligt de nadruk vaak op aantoonbare uitvoering.

Bijvoorbeeld:

• patching;
• accounts;
• beheerrechten;
• logging;
• endpointbeheer;
• back-up;
• monitoring;
• configuraties;
• kwetsbaarheden;
• incidenten;
• leveranciers.

Mijn advies: zorg dat niet alleen de techniek op orde is, maar ook zichtbaar is hoe je controleert dat die op orde blijft.

Hoe bereid je je goed voor?

Ik zou voorbereiding in vijf stappen doen.

1. Controleer de scope

Weet welke onderdelen, locaties, processen en systemen binnen het ISMS vallen.

2. Loop de risico's door

Zijn risico's actueel? Zijn eigenaren duidelijk? Sluiten maatregelen nog aan?

3. Controleer bewijs

Pak niet alleen documenten erbij. Kijk ook naar recente voorbeelden uit de praktijk.

4. Sluit openstaande acties

Niet door zaken cosmetisch groen te maken, maar door daadwerkelijk duidelijkheid te creëren over status en restrisico.

5. Bereid mensen inhoudelijk voor

Geen ingestudeerde antwoorden.

Leg uit:

• waarom de audit plaatsvindt;
• dat mensen eerlijk mogen antwoorden;
• dat bewijs belangrijk is;
• dat zij hun eigen proces moeten kunnen uitleggen.

Een auditor merkt het snel wanneer antwoorden uit het hoofd zijn geleerd.

Wat zou ik vlak vóór de audit niet doen?

Ik zou geen grote documentenoperatie beginnen.

Wanneer je een week voor de audit ineens twintig procedures herschrijft, loop je het risico dat de formele tekst verder van de praktijk komt te staan.

Kijk liever naar:

• echte werking;
• recente voorbeelden;
• openstaande risico's;
• bekende afwijkingen;
• opvolging;
• bewijs.

Daar zit de waarde.

Hoe lang duurt een ISO 27001-audit?

Dat verschilt per organisatie en scope.

Factoren zijn onder andere:

• aantal medewerkers;
• complexiteit;
• locaties;
• technologie;
• uitbesteding;
• scope;
• volwassenheid.

De certificerende instelling bepaalt de benodigde audittijd op basis van de toepasselijke certificatieregels.

Vraag dit daarom vooraf op in de offerte.

Voor de kostenkant hebben we een apart artikel:

Wat kost ISO 27001 certificering?

Wanneer ben je audit-ready?

Voor mij is een organisatie audit-ready wanneer zij zonder toneelstuk kan laten zien:

• dit is onze scope;
• dit zijn onze belangrijkste risico's;
• dit hebben we afgesproken;
• zo voeren we het uit;
• dit bewijs hebben we;
• hier zitten nog zwakke plekken;
• dit doen we eraan;
• zo stuurt de directie erop.

Dat is veel belangrijker dan een perfect ogende documentenbibliotheek.

Wil je eerst weten waar nog hiaten zitten? Dan is een ISO 27001 GAP-analyse een logische stap vóór certificering.