Wat is een ISMS-audit? Interne en externe audit uitgelegd

Een ISMS-audit is een toetsing van uw managementsysteem voor informatiebeveiliging. Er wordt gekeken of wat u heeft opgeschreven ook echt gebeurt, en of het systeem doet wat u ervan claimt.

Er zijn twee soorten, en die worden regelmatig door elkaar gehaald. De interne audit doet u zelf, of laat u namens uzelf doen. De externe audit wordt uitgevoerd door een geaccrediteerde instelling en leidt tot het certificaat.

Hieronder leest u wat het verschil is, hoe een audit verloopt en hoe u zich voorbereidt zonder er weken aan kwijt te zijn.

Intern en extern: wat het verschil is

De interne audit is uw eigen controle. U toetst of de praktijk overeenkomt met wat er is afgesproken, en u pakt op wat er niet klopt. Die audit is verplicht: de norm vraagt erom.

De externe audit wordt gedaan door een certificerende instelling die daarvoor geaccrediteerd is. Die kijkt of uw systeem voldoet aan ISO 27001 en geeft bij een positief oordeel het certificaat af.

Het belangrijkste praktische verschil: bij de interne audit mogen bevindingen er zijn, dat is juist het doel. Bij de externe audit wilt u er zo min mogelijk. De interne audit is daarmee uw generale repetitie.

Wie de interne audit mag doen

De eis is onafhankelijkheid: iemand mag niet over zijn eigen werk oordelen. Wie het toegangsbeleid heeft geschreven, auditeert dat onderdeel dus niet zelf.

Bij grotere organisaties lost men dat op door collega’s elkaars gebieden te laten auditen. Bij kleinere organisaties is dat lastiger, en dan wordt de interne audit vaak uitbesteed. Dat mag, mits die partij niet ook het systeem heeft ingericht.

De auditor hoeft geen securityspecialist te zijn. Belangrijker is dat hij de norm kent, kan doorvragen en bevindingen helder opschrijft.

Hoe een audit verloopt

De opbouw is bij intern en extern vergelijkbaar. Er wordt begonnen bij de documentatie en geëindigd bij de praktijk.

Eerst leest de auditor het beleid, de risicobeoordeling en de verklaring van toepasselijkheid. Daaruit haalt hij zijn steekproef: welke maatregelen ga ik toetsen.

Daarna volgen de gesprekken. Niet alleen met de securityfunctionaris, maar juist ook met mensen op de werkvloer. De vraag is zelden “heeft u beleid” maar vaker “wat doet u als u een verdachte mail krijgt”.

Tot slot vraagt hij om bewijs. Een aanwezigheidslijst van een training, een logbestand, een verwerkte melding, een beoordeling van toegangsrechten. Dat bewijs is waar de meeste bevindingen ontstaan, want het bestaat vaak wel maar is niet terug te vinden.

Zo bereidt u zich voor

De beste voorbereiding is niet opruimen vlak voor de audit, maar het jaar rond bewijs verzamelen. Wie in november gaat zoeken naar wat er in maart is gebeurd, maakt het zichzelf onnodig zwaar.

Loop verder uw verklaring van toepasselijkheid langs en controleer per maatregel of de verwijzing nog klopt. Verwijzingen die nergens heen gaan zijn de meest voorkomende bevinding en de makkelijkst te voorkomen.

Doe tot slot zelf de steekproef die de auditor gaat doen. Pak vijf maatregelen, vraag om het bewijs en kijk hoe lang het duurt voordat het er is. Wat u zelf niet binnen een dag vindt, vindt de auditor ook niet. De concrete punten staan in de ISO 27001 audit checklist.

Wat er met bevindingen gebeurt

Bevindingen worden ingedeeld naar zwaarte. Een lichte bevinding lost u op binnen een afgesproken termijn en dat staat het certificaat niet in de weg. Een zware bevinding moet zijn opgelost voordat het certificaat wordt afgegeven.

Belangrijker dan de indeling is wat u ermee doet. Per bevinding bepaalt u de oorzaak, de maatregel, wie hem uitvoert en wanneer. Bij de volgende audit wordt gekeken of dat is gebeurd, dus openstaande punten uit vorig jaar vallen op.

Dat opvolgen is de Act-fase van de PDCA-cyclus. Zonder die stap draait de cyclus niet rond en verbetert er niets.

Hoe u de steekproef van de auditor voorspelt

Auditors werken zelden willekeurig. Ze kiezen hun steekproef langs vaste lijnen, en als u die kent kunt u zich gericht voorbereiden.

De eerste lijn is uw eigen documentatie. Wat u in de verklaring van toepasselijkheid het stelligst opschrijft, wordt het eerst getoetst. Staat er dat toegangsrechten elk kwartaal worden beoordeeld, dan is dat een concrete belofte die makkelijk te controleren is.

De tweede lijn zijn de onderwerpen waar het bij anderen vaak misgaat: uit dienst getreden medewerkers, beproefde back-ups, leverancierstoegang en het incidentregister. Die komen bij vrijwel elke audit langs.

De derde lijn is wat er sinds vorige keer is veranderd. Een nieuwe dienst, een verhuizing naar een ander platform, een reorganisatie: daar wordt gekeken of uw systeem is meebewogen.

Loop die drie lijnen zelf langs voor de audit. Dan weet u vrijwel zeker waar de vragen over gaan.

Wat u doet als er een bevinding komt

Bevindingen zijn normaal, ook bij goed lopende systemen. Wat telt is hoe u ermee omgaat, en daar valt eenvoudig punten mee te winnen.

Zoek eerst de oorzaak en niet alleen de fout. Een account dat na uitdiensttreding open bleef staan is de fout. De oorzaak is dat de melding vanuit personeelszaken niet automatisch bij IT terechtkomt. Repareert u alleen het account, dan komt de bevinding volgend jaar terug.

Leg daarna vast wie wat doet en wanneer. Een bevinding zonder eigenaar en zonder datum is een bevinding die blijft liggen, en openstaande punten uit een vorige ronde vallen bij de volgende audit direct op.

En wees eerlijk over wat niet lukt. Een bevinding waarvan u onderbouwd zegt dat hij later wordt opgepakt, met een reden en een termijn, is verdedigbaar. Een bevinding die stilletjes op afgehandeld wordt gezet terwijl er niets is veranderd, is dat niet.

Veelgestelde vragen over de ISMS-audit

Is een interne audit verplicht?

Ja. ISO 27001 vraagt om periodieke interne audits als onderdeel van de evaluatie. Zonder interne audit voldoet u niet aan de norm, ook al is de rest van uw systeem in orde.

Hoe vaak moet er een interne audit plaatsvinden?

Minimaal een keer per jaar over het geheel. U mag dat verdelen: veel organisaties auditen per kwartaal een aantal onderwerpen, zodat het geheel binnen een jaar is gedekt en het werk beter te plannen is.

Mag ons eigen personeel de interne audit doen?

Ja, mits die persoon niet over zijn eigen werk oordeelt. Bij kleine organisaties is dat vaak lastig te organiseren, en dan wordt de interne audit uitbesteed aan een partij die het systeem niet zelf heeft ingericht.

Wat is het verschil tussen fase 1 en fase 2 van de externe audit?

In fase 1 beoordeelt de auditor uw documentatie en of u klaar bent voor de toetsing. In fase 2 toetst hij of het in de praktijk ook zo gaat, met gesprekken en bewijs. Fase 1 gaat over papier, fase 2 over de werkelijkheid.

Wat als er tijdens de audit een incident naar boven komt?

Dat is geen probleem, mits u het heeft opgemerkt, geregistreerd en opgevolgd. De norm gaat ervan uit dat er dingen misgaan. Een organisatie die nooit een incident registreert valt eerder op dan een die er een paar per jaar netjes afhandelt.