Mitä ISO 27001 -auditointi sisältää?

Auditointeja käytetään yleisesti varmistamaan, että toiminta täyttää tietyt kriteerit. Kaikkien ISO-johtamisjärjestelmästandardien osalta auditoinneilla varmistetaan, että johtamisjärjestelmä täyttää asiaankuuluvan standardin vaatimukset, organisaation omat vaatimukset ja tavoitteet sekä pysyy tehokkaana ja tuloksellisena. Tämän vahvistamiseksi on suoritettava tarkastusohjelma.

Mikä on ISO 27001 -auditointi?

ISO 27001 -auditointi sisältää pätevän ja objektiivisen auditoijan, joka tarkastaa ISMS:n tai sen osat ja testaa, että se täyttää standardin vaatimukset, organisaation omat tietovaatimukset ja tavoitteet ISMS:lle ja että politiikat, prosessit ja muut kontrollit ovat tehokkaita. ja tehokas.

ISMS- järjestelmän yleisen vaatimustenmukaisuuden ja tehokkuuden lisäksi ISO 27001 -auditointi on suunniteltu mahdollistamaan organisaatiolle tietoturvariskien hallinta siedettävällä tasolla. Lisäksi on tarpeen tarkistaa, että toteutetut kontrollit todella vähentävät riskiä tasolle, jossa riskin omistaja(t) sietävät jäännösriskin.

Millaisia ​​auditointityyppejä on?

Standardi edellyttää, että organisaation on suunniteltava ja suoritettava sisäisiä auditointeja voidakseen väittää noudattavansa standardia. Lisäksi, jos organisaatio haluaa sertifioinnin, sen on suoritettava ulkoisia auditointeja sertifiointilaitoksen toimesta – akkreditoidun organisaation, jolla on pätevät resurssit ISO 27001 -standardin mukaisiin auditointeihin.

Jotta ISMS:stä saadaan mahdollisimman suuri hyöty, on erittäin suositeltavaa varmistaa, että valitulla sertifiointielimellä on tunnustetun valvontaviranomaisen akkreditointi. Isossa-Britanniassa sertifiointielimet ovat akkreditoineet UKAS:n eli Yhdistyneen kuningaskunnan akkreditointipalvelun. Tämä on ainoa hallituksen valtuuttama akkreditointielin Isossa-Britanniassa.

Sisäinen tarkastus

Sisäiset tarkastukset , kuten nimestä voi päätellä, ovat organisaation suorittamia organisaation tietoturvajärjestelmän tarkastuksia. Jos organisaatiolla ei ole päteviä ja objektiivisia tarkastajia omassa henkilöstössään, nämä tarkastukset voi suorittaa urakoitsija.

Ulkoinen tarkastus

Termiä "ulkoiset auditoinnit" käytetään yleisimmin sertifiointielimen sertifioinnin saamiseksi tai ylläpitämiseksi suorittamista auditoinneista. Sitä voidaan kuitenkin käyttää myös muiden asianosaisten (esim. kumppanien tai asiakkaiden) suorittamista auditoinneista, jotka haluavat saada oman varmuutensa organisaation tietoturvan hallintajärjestelmästä . Tämä pätee erityisesti silloin, kun tällaisella osapuolella on vaatimuksia, jotka ylittävät standardin vaatimukset.

Miksi ISO 27001 -auditoinnit ovat tärkeitä?

Ilman tietoturvajärjestelmän hallinnan ja suorituskyvyn tarkistamista ei ole todellista takeita siitä, että se saavuttaa sille asetetut tavoitteet. Auditoinnit auttavat osaltaan tämän varmuuden tarjoamisessa.

Miksi minun on tarkastettava ISMS?

ISMS-auditointiin on useita syitä:

Mitä ISO 27001 -standardin sisäisiin auditointeihin liittyy?

Dokumentaation tarkistus – Tämä on organisaation käytäntöjen, menettelytapojen, standardien ja ohjeistusdokumentaation tarkistus sen varmistamiseksi, että se on tarkoituksenmukainen ja että sitä tarkistetaan ja ylläpidetään.

Todisteellinen tarkastus (tai kenttätarkastus) – Tämä on tarkastustoiminta, jossa aktiivisesti kerätään näytteitä todisteista sen osoittamiseksi, että käytäntöjä noudatetaan, että menettelytapoja ja standardeja noudatetaan ja että ohjeita otetaan huomioon.

Analyysi – Dokumentaation tarkastelun ja/tai todisteisiin perustuvan otannan jälkeen tilintarkastaja arvioi ja analysoi havainnot varmistaakseen, täyttyvätkö standardin vaatimukset.

Tilintarkastusraportti – Tilintarkastusraportti on laadittava kohdan 9.2 f) mukaisesti ja toimitettava johdolle näkyvyyden varmistamiseksi.

Johdon katselmus – Tämä on kohdan 9.3 Johdon katselmus mukainen pakollinen toiminto, jossa on otettava huomioon suoritettujen auditointien havainnot sen varmistamiseksi, että korjaavat toimenpiteet ja parannukset toteutetaan tarvittaessa.

Mitä ulkoinen ISO 27001 -auditointi sisältää?

Ulkoisen tarkastuksen prosessit ovat olennaisilta osiltaan samat kuin sisäisen tarkastuksen ohjelmassa, mutta yleensä ne suoritetaan sertifioinnin saavuttamiseksi ja ylläpitämiseksi. Ulkoiset auditoijat [sertifiointielin] määrittelevät ulkoisten [sertifiointi]-auditointien ohjelman, mutta siinä noudatetaan systemaattista vaatimusta.

Asianomainen tarkastaja toimittaa suunnitelman tarkastuksesta, ja kun organisaatio on vahvistanut sen, resurssit kohdistetaan ja päivämäärät, kellonajat ja paikat sovitaan. Tämän jälkeen tarkastus suoritetaan tarkastussuunnitelman mukaisesti.

Kuinka usein ulkoisia auditointeja tehdään?

Eri akkreditointielimet ympäri maailmaa asettavat erilaisia ​​vaatimuksia sertifiointitarkastusohjelmalle , mutta UKAS-akkreditoitujen sertifikaattien tapauksessa näihin kuuluvat:

  • Ensimmäinen sertifiointiauditointi – suoritetaan kahdessa vaiheessa.
  • Säännölliset valvontaauditoinnit – tyypillisesti kuuden kuukauden välein tai vähintään vuosittain.
  • Uudelleensertifiointitarkastukset suoritetaan kolmen vuoden välein.

Mitkä ovat ulkoisten auditointien tyypit ja vaiheet?

  • Vaihe 1 auditointi – "Dokumentoinnin tarkistus" varmistaakseen, että organisaatiolla on tarvittavat dokumentaatiot toimivaa ISMS:ää varten.
  • Vaihe 2 auditointi – “Certification Audit” – todisteellinen tarkastus, joka vahvistaa, että organisaatio on ISMS:n käyttö standardin mukaisesti – eli että dokumentoidut politiikat, menettelytavat ja standardit ovat toteutettuja, toimivia ja tehokkaita. Tämä todisteellinen tarkastus suoritetaan otantaperiaatteella.
  • Valvontatarkastus – Tunnetaan myös nimellä "kausittaiset auditoinnit", ne suoritetaan aikataulun mukaisesti sertifiointi- ja uudelleensertifiointiauditointien välillä, ja ne keskittyvät yhteen tai useampaan ISMS:n osa-alueeseen.
  • Uudelleensertifiointiauditointi – Suoritettu ennen sertifiointiajan umpeutumista (3 vuotta UKAS-akkreditoiduilla sertifikaateilla) ja se on perusteellisempi tarkistus kuin valvontatarkastuksen aikana suoritetut. Se kattaa kaikki standardin osa-alueet.

Yllä mainittujen ulkoisten, virallisten sertifiointiauditointien ohjelman lisäksi saatat joutua teettämään ulkoisen auditoinnin, jonka suorittaa asianosainen kolmas osapuoli, kuten asiakas, kumppani tai sääntelyviranomainen. Asianomainen osapuoli toimittaa sinulle yleensä auditointisuunnitelman ja laatii seurantaraportin, joka tulee sisällyttää ISMS- hallinnan katselmukseesi.

ISO 27001 -auditoinnin arvo sertifioinnilla tai ilman

Organisaation päätös ISO 27001 -standardin noudattamisesta ja mahdollisesta sertifioinnista riippuu virallisen, dokumentoidun tietoturvan hallintajärjestelmän käyttöönoton ja toiminnan syistä, ja tämä dokumentoidaan usein liiketoimintasuunnitelmassa, jossa yksilöidään odotetut tavoitteet ja sijoitetun pääoman tuotto.

Ilman sertifiointia organisaatio voi vain väittää olevansa standardin mukainen, eikä mikään akkreditoitu kolmas osapuoli takaa tätä vaatimustenmukaisuutta. Jos syy ISMS:n käyttöönotolle on vain parannettu turvallisuuden hallinta ja sisäinen varmistus, tämä saattaa riittää.

Jotta tietoturvallisuuden hallintajärjestelmästä saataisiin mahdollisimman suuri hyöty ja sijoitetun pääoman tuotto organisaation ulkoisten sidosryhmien ja intressiryhmien varmuuden kannalta, tarvitaan riippumaton, ulkoinen ja akkreditoitu sertifiointiauditointiohjelma.

Muista, että ainoa ero "vaatimustenmukaisuuden" ja "sertifioinnin" välillä on ulkoisten sertifiointitarkastusten ohjelma. Tämä johtuu siitä, että voidakseen todella väittää olevansa standardin mukainen, organisaation on silti tehtävä kaikki standardin edellyttämä - itsetestattu "yhteensopivuus" ei vähennä vaadittuja resursseja ja vaivaa ISMS:n käyttöönotossa ja käytössä.

Valmistaudutaan ISO 27001 -sertifiointiauditointiin

Kun valmistaudut sertifiointiauditointiin, tulee ottaa huomioon seuraavat avainkohdat:

Ovatko ISMS:n keskeiset prosessit toteutettu ja toiminnassa?

  • Organisaation konteksti – Organisatorisen kontekstin ja tietoturvavaatimusten ymmärtäminen ja dokumentointi, mukaan lukien kiinnostuneiden osapuolten vaatimukset. Tämä sisältää myös dokumentoi ISMS:n laajuuden
  • Riskien ja mahdollisuuksien hallinta – Onko organisaatio tunnistanut ja arvioinut tietoturva riskit ja mahdollisuudet sekä dokumentoitu hoitosuunnitelma?
  • Johto – Voidaanko vahva huippujohtajuus osoittaa – esim. tarjoamalla resursseja ja dokumentoidulla sitoutumislausumalla organisaatiossa turvallisuuspolitiikka.
  • Sisäinen tarkastus – Onko sisäisten tarkastusten ohjelma dokumentoitu, hyväksytty ja aloitettu kohdan 9.2 mukaisesti?
  • Johdon katsaus – Onko ISMS:lle tehty muodollinen johdon tarkastus kohdan 9.3 mukaisesti?
  • Korjaava toimenpide – Voiko organisaatio osoittaa, että korjaavia toimia ja parannuksia johdetaan ja toteutetaan tehokkaasti ja tehokkaasti?

Ovatko vaaditut asiakirjat olemassa ja hyväksytty?

Ovatko todisteet helposti löydettävissä ja käytettävissä?

Ovatko kaikki työntekijät ja asiaankuuluvat urakoitsijat saaneet tietoturvakoulutusta, -opastusta ja -tietoisuutta?

Hyvä käytäntö on myös varmistaa, että haastateltaville on kerrottu, mitä auditoinnin aikana on odotettavissa ja miten niihin vastataan. Varmista myös, että he pääsevät helposti käsiksi asiakirjoihin ja todisteisiin, joita tilintarkastaja saattaa pyytää.

Kuka suorittaa ISO 27001 -auditoinnin?

Kaikki ISO 27001 -standardin mukaiset auditoinnit on suoritettava pätevien ja objektiivisten auditoijien toimesta.

ISO 27001 -auditoinnin pätevyyden osoittaminen edellyttää yleensä, että auditoijalla on todistettavasti tieto standardista ja auditoinnin suorittamisesta. Tämä voi tapahtua osallistumalla ISO 27001 -pääauditorin kurssille tai hankkimalla jokin muu tunnustettu auditointipätevyys ja sitten todistettavissa oleva standardin tuntemus. On mahdollista osoittaa, että tilintarkastaja on pätevä ilman muodollista koulutusta, mutta tämä on todennäköisesti vaikeampi keskustelu sertifiointielimen kanssa.

Objektiivisuuden osoittamiseksi on osoitettava, että tilintarkastaja ei tarkasta omaa työtään ja ettei häneen aiheettomasti vaikuteta raportointilinjoillaan. Pienemmille organisaatioille tai niille, jotka haluavat selvempää objektiivisuutta, voi olla käytännöllisempää ottaa mukaan sopimus tilintarkastaja.

Sertifiointielimet ovat tarkastaneet tilintarkastajiensa pätevyyden ja niiden tulee olla valmiita osoittamaan se sinulle pyynnöstä.

Miten
ISMS.online tekee auditointiprosessista tehokkaamman?

ISMS.online sisältää valmiiksi rakennetun auditointiohjelmaprojektin, joka kattaa sekä sisäiset että ulkoiset auditoinnit ja voi sisältää myös GDPR -auditointeja , jos olet valinnut tämän vaihtoehdon.

Valmiiksi rakennettu auditointiohjelma sisältää:

  • Toiminnot kahdelle suositellulle auditoinnille ennen sertifiointia
  • A suunnitelma sisäisiä tarkastuksia varten ensimmäiselle 3 vuoden sertifiointijaksolle
  • Paikkamerkit ulkoista sertifiointia ja määräaikaisia ​​tarkastuksia varten

Auditointiohjelmaprojektin tarjoamisen lisäksi nopea linkitys muihin työalueisiin ISMS.online-alustan kattavassa kokonaisvaltaisessa järjestelmässä tarkoittaa, että auditointihavaintojen linkittäminen kontrolleihin, korjaaviin toimenpiteisiin ja parannuksiin sekä jopa riskeihin on helppoa ja saavutettavaa. Näin voit helposti osoittaa ulkoiselle auditoijallesi havaittujen havaintojen yhteisen hallinnan.

Tarvitsetko lisätietoja? Ota yhteyttä ja keskustele asiantuntijoidemme kanssa jo tänään.

Kuinka usein minun on suoritettava sisäinen tarkastus?

Sinun on suoritettava sisäisiä auditointeja, jotka kattavat koko standardin vähintään sertifiointijakson aikana (3 vuotta UKAS-akkreditoiduissa sertifikaateissa).

Voit tehdä tämän yhtenä tarkastuksena, mutta se jaetaan yleisemmin pienempiin tarkastuksiin 3 vuoden ajanjaksolla.

On myös tärkeää auditoida joitakin alueita useammin, jos riskitasot ovat korkeat tai alueella tapahtuu usein muutoksia.

Johtamisjärjestelmän vaatimukset (kohdat 4-10) suositellaan auditoimaan vuosittain ja tämä voidaan liittää ISMS-johtamiskatselmukseen, joka on myös tehtävä vuosittain.

Kuinka paljon yksityiskohtia ISO 27001 -standardin sisäiseen tarkastukseen tulisi sisällyttää?

Vähimmäisvaatimuksena on, että dokumentoit tarkastetut alueet, kaikki todisteet, joista on otettu näytteitä, ja kaikki havaitut poikkeamat ja parannusmahdollisuudet, mutta se on hyvä käytäntö ja tarjoaa huomattavasti enemmän hyötyä, jos dokumentoit kaikki havainnot, mukaan lukien missä jokin toimii oikein – ja se antaa tarkastusraportista positiivisemman vaikutelman.

Mitä ISO 27001 -sertifiointiauditointi sisältää?

Ensimmäinen ISO 27001 -sertifiointiauditointi sisältää:

Vaihe 1 - auditointi - ”Dokumentaation tarkastus” sen varmistamiseksi, että organisaatiolla on tarvittavat asiakirjat toimivaa tietoturvan hallintajärjestelmää varten.

Vaiheen 2 auditointi – ”Sertifiointiauditointi” – todisteisiin perustuva auditointi, jolla varmistetaan, että organisaatio käyttää tietoturvajärjestelmää standardin mukaisesti – eli että dokumentoidut käytännöt, menettelyt ja standardit ovat käytössä, toiminnassa ja tehokkaita. Tämä todisteisiin perustuva auditointi suoritetaan otantana.

Sertifiointisi säilyttäminen eteenpäin edellyttää:

Valvonta-auditoinnit – Tunnetaan myös nimellä ”säännölliset auditoinnit”. Näitä suoritetaan aikataulun mukaisesti sertifiointi- ja uudelleensertifiointiauditointien välillä, ja ne keskittyvät yhteen tai useampaan tietoturvallisuuden hallintajärjestelmän osa-alueeseen.

Uudelleensertifiointitarkastus – Suoritetaan ennen sertifiointijakson päättymistä (3 vuotta UKAS-akkreditoiduissa sertifikaateissa) ja on perusteellisempi tarkastus kuin valvontatarkastus. Se kattaa kaikki standardin osa-alueet.