Was beinhaltet ein ISO 27001-Audit?

Was ist ein ISO 27001-Audit?

An ISO 27001 Bei der Prüfung handelt es sich um einen kompetenten und objektiven Prüfer, der Folgendes prüft:

• Das ISMS oder Teile davon und Prüfung, ob es den Anforderungen der Norm entspricht,
• Eigener Informationsbedarf der Organisation, Ziele für das ISMS,
• Dass die Richtlinien, Prozesse und anderen Kontrollen praktisch und effizient sind.

Zusätzlich zur allgemeinen Konformität und Wirksamkeit des ISMS, as ISO 27001 soll es einer Organisation ermöglichen, ihre Informationssicherheitsrisiken zu verwalten Um das Risiko auf ein tolerierbares Maß zu reduzieren, muss überprüft werden, ob die implementierten Kontrollen das Risiko tatsächlich so weit reduzieren, dass der/die Risikoeigentümer das Restrisiko gerne tolerieren.

Welche Arten von Audits gibt es?

Der Standard verlangt, dass eine Organisation einen Zeitplan für „interne Audits“ planen und durchführen muss, um die Einhaltung des Standards behaupten zu können. Wenn eine Organisation außerdem eine Zertifizierung erreichen möchte, muss sie „externe Audits“ durch eine „Zertifizierungsstelle“ durchführen lassen – eine Organisation, die über kompetente Auditierungsressourcen gemäß ISO 27001 verfügt.

Um den größtmöglichen Nutzen aus dem ISMS zu ziehen, wird dringend empfohlen, sicherzustellen, dass die ausgewählte Zertifizierungsstelle von einer anerkannten Aufsichtsbehörde akkreditiert ist. Im Vereinigten Königreich sind Zertifizierungsstellen von UKAS – dem United Kingdom Accreditation Service – akkreditiert.

Interne Anhörung

Interne Audits sind, wie der Name schon sagt, Audits, die mit eigenen Ressourcen der Organisation durchgeführt werden. Wenn die Organisation nicht über kompetente und objektive Auditoren im eigenen Personalbereich verfügt, können diese Audits von einem Vertragslieferanten durchgeführt werden. Diese werden oft als „2nd-Party-Audits“ bezeichnet, da der Lieferant als „interne Ressource“ fungiert.

Externe Prüfung

Der Begriff „externe Audits“ bezieht sich am häufigsten auf Audits, die von einer Zertifizierungsstelle durchgeführt werden, um eine Zertifizierung zu erlangen oder aufrechtzuerhalten. Der Begriff kann jedoch auch für Audits verwendet werden, die von anderen interessierten Parteien (z. B. Partnern oder Kunden) durchgeführt werden, um sich selbst vom ISMS der Organisation zu überzeugen. Dies gilt insbesondere dann, wenn eine solche Partei Anforderungen stellt, die über die Norm hinausgehen.

Wert eines ISO 27001-Audits mit/ohne Zertifizierung

Die Entscheidung der Organisation, etwas zu erreichen Einhaltung und ggf. Zertifizierung nach ISO 27001 hängt von der Implementierung und dem Betrieb eines formellen, dokumentierten ISMS ab. Dies wird häufig in einem Geschäftsfall dokumentiert, der die erwarteten Ziele und die Kapitalrendite ermittelt.

Ohne Zertifizierung kann die Organisation nur die „Konformität“ mit dem Standard behaupten, und diese Konformität wird nicht von akkreditierten Dritten gewährleistet. Wenn der Grund für die Implementierung des ISMS nur ein verbessertes Sicherheitsmanagement und eine interne Sicherung ist, kann dies ausreichend sein.

Um den größtmöglichen Nutzen und Return on Investment aus dem ISMS zu erzielen, indem es den Außenstehenden der Organisation Sicherheit bietet Interessenten und Stakeholderist ein unabhängiges, externes, akkreditiertes Zertifizierungsauditprogramm erforderlich.

Bedenken Sie, dass der einzige Aufwandsunterschied zwischen „Compliance“ und „Zertifizierung“ im Programm der externen Zertifizierungsaudits besteht. Denn um die „Konformität“ mit dem Standard zu beanspruchen, muss die Organisation tatsächlich noch alles tun, was der Standard verlangt – eine selbstgeprüfte „Konformität“ verringert nicht die erforderlichen Ressourcen und den Aufwand für die Implementierung und den Betrieb eines ISMS.

Vorbereitung auf ein ISO 27001-Zertifizierungsaudit

Bei der Vorbereitung auf ein Zertifizierungsaudit sollten folgende Kernpunkte beachtet werden:

• Sind der Schlüssel Prozess des ISMS implementiert und betriebsbereit?
  • Organisatorischer Kontext – Verständnis und Dokumentation des organisatorischen Kontexts und der Anforderungen an die Informationssicherheit, einschließlich interessierter Parteien. Dazu gehört auch die Dokumentation des Umfangs des ISMS
  • Risiko- und Chancenmanagement – ​​Hat die Organisation identifiziert und? bewertete Informationssicherheitsrisiken und Möglichkeiten sowie einen Behandlungsplan dokumentiert?
  • Führung – Kann eine starke Führungsqualität auf höchster Ebene demonstriert werden – z. B. durch die Bereitstellung von Ressourcen und eine dokumentierte Verpflichtungserklärung innerhalb des Unternehmens? Organisationssicherheitspolitik.
  • Internes Audit – Wurde ein Programm interner Audits gemäß Abschnitt 9.2 dokumentiert, vereinbart und eingeleitet?
  • Managementbewertung – Wurde das ISMS einer formellen Managementbewertung gemäß unterzogen? Klausel 9.3
  • Korrekturmaßnahmen und Ständige Verbesserung – Kann die Organisation nachweisen, dass Korrekturmaßnahmen und Verbesserungen effektiv und effizient verwaltet und umgesetzt werden?
• Sind die erforderlichen Dokumente vorhanden und genehmigt?
  • ISMS Scope-Erklärung (Klausel 4.3)
  • Organisationsrichtlinie zur Informationssicherheit (Klausel 5.2)
  • Risikomanagementmethode (Abschnitt 6.1.2 und 6.1.3)
  • Risikoregister & Behandlungsplan (Ziffer 6.1.3 e)
  • Erklärung zur Anwendbarkeit (Ziffer 6.1.3 d)
  • Richtlinien und Prozesse gemäß Anhang A erforderlich, wo Kontrollen erfolgen gelten.
• Sind beweiskräftige Aufzeichnungen leicht zu finden und zugänglich?
• Lassen Sie alle Mitarbeiter und relevanten Auftragnehmer empfangen Ausbildung zur Informationssicherheit, Schulung und Sensibilisierung? Es ist auch eine gute Praxis, sicherzustellen, dass diejenigen, die interviewt werden, darüber informiert werden, was sie während des Audits erwartet und wie sie reagieren sollen. Stellen Sie außerdem sicher, dass sie problemlos auf Dokumente und Nachweise zugreifen können, die der Prüfer möglicherweise anfordert.

Wer führt ein ISO 27001-Audit durch?

Alle Audits gemäß ISO 27001 müssen von kompetenten und objektiven Auditoren durchgeführt werden.

Um die Kompetenz für ein ISO 27001-Audit nachzuweisen, ist es in der Regel erforderlich, dass der Auditor nachweislich über Kenntnisse der Norm und der Durchführung eines Audits verfügt. Dies kann durch die Teilnahme an einem ISO 27001 Lead Auditor-Kurs oder durch eine andere anerkannte Auditierungsqualifikation und anschließend nachweisbare Kenntnisse der Norm geschehen. Es kann möglich sein, die Kompetenz eines Prüfers auch ohne formelle Ausbildung nachzuweisen. Allerdings dürfte das Gespräch mit Ihrer Zertifizierungsstelle schwieriger werden.

Um die Objektivität nachzuweisen, muss nachgewiesen werden, dass der Prüfer nicht seine eigene Arbeit prüft und dass er durch seine Berichtslinien nicht unzulässig beeinflusst wird.

Für kleinere Organisationen oder diejenigen, die eine klarere Objektivität wünschen, kann es praktischer sein, einen Vertragsprüfer einzuschalten.

Zertifizierungsstellen haben die Kompetenz ihrer Auditoren überprüft und sollten bereit sein, Ihnen diese auf Anfrage nachzuweisen.

Wie macht ISMS.online den Auditprozess effizienter?

ISMS.online umfasst ein vorgefertigtes Auditprogrammprojekt, das sowohl interne als auch externe Audits abdeckt und möglicherweise auch Audits gemäß der DSGVO umfasst, wenn Sie diese Option gewählt haben.

Das vorgefertigte Auditprogramm umfasst:

• Aktivitäten für 2 empfohlene Audits vor der Zertifizierung
• Ein Plan interner Audits für den ersten dreijährigen Zertifizierungszeitraum
• Platzhalter für Ihre externe Zertifizierung und regelmäßige Audits

Neben der Bereitstellung des Audit-Programmprojekts bedeutet die Möglichkeit der schnellen Verknüpfung mit anderen Arbeitsbereichen innerhalb der All-in-One-Plattform ISMS.online, dass die Verknüpfung von Audit-Ergebnissen mit Kontrollen, Korrekturmaßnahmen und Verbesserungen und sogar Risiken vereinfacht wird zugänglich. Dadurch können Sie Ihrem externen Prüfer die ganzheitliche Verwaltung der ermittelten Feststellungen einfach nachweisen.