ISO 27001 audit
Een ISO 27001 audit is een beoordeling of uw managementsysteem voor informatiebeveiliging voldoet aan de norm en of het in de praktijk werkt. Er zijn vier soorten: de interne audit die u zelf organiseert, en de certificerende audit in twee fasen gevolgd door jaarlijkse controleaudits.
Op deze pagina leest u wat elke audit toetst, welk bewijs een auditor opvraagt, welke bevindingen het vaakst voorkomen en wie uw interne audit mag uitvoeren. Dat laatste is de vraag waar organisaties het vaakst op vastlopen.
Wij komen deze vraag meestal tegen kort voor een certificerende audit, of nadat een interne audit is uitgesteld omdat niemand wist wie hem mocht doen.
Wat is een ISO 27001 audit?
Een audit toetst twee dingen: of uw systeem voldoet aan de norm, en of u doet wat u zelf heeft opgeschreven.
Dat tweede wordt onderschat. Een auditor beoordeelt niet alleen de normeisen, maar ook uw eigen beleid en procedures. Staat er in uw beleid dat toegangsrechten elk kwartaal worden beoordeeld, dan vraagt hij het bewijs van die beoordelingen. Belooft u minder, dan hoeft u ook minder aan te tonen.
Dat maakt het schrijven van beleid een strategische keuze. Documenten die mooi klinken maar niet worden nageleefd, zijn tijdens een audit een probleem in plaats van een pluspunt.
De auditor kijkt daarnaast of het systeem leeft. Weten medewerkers waar zij een incident melden? Is de risicobeoordeling recent? Zijn de acties uit de vorige audit opgevolgd? Een systeem dat alleen in de weken vóór de audit beweegt, valt op.
De vier audits binnen ISO 27001
Deze vier komen in elk certificeringstraject voor. Ze verschillen in uitvoerder, moment en gevolg.
- Interne audit. Wie voert uit: Uzelf of een partij namens u. Wat wordt getoetst: Het volledige systeem, tegen norm en eigen beleid. Wanneer: Minimaal jaarlijks, verplicht vóór de certificerende audit.
- Certificerende audit fase 1. Wie voert uit: Geaccrediteerde certificerende instelling. Wat wordt getoetst: Documentatie, scope en of u toetsbaar bent. Wanneer: Enkele weken vóór fase 2.
- Certificerende audit fase 2. Wie voert uit: Dezelfde instelling. Wat wordt getoetst: Of het systeem in de praktijk werkt, met bewijs. Wanneer: Bij een geslaagde fase 1.
- Controleaudit. Wie voert uit: Dezelfde instelling. Wat wordt getoetst: Steekproef op onderdelen, plus opvolging van bevindingen. Wanneer: Jaar één en twee, daarna hercertificering.
De interne audit is de enige die u zelf organiseert, en juist die wordt het vaakst overgeslagen. Zonder interne audit komt u fase 1 niet door, want de norm vraagt hem expliciet.
De interne audit: verplicht en zelf te organiseren
De norm vraagt dat u met geplande tussenpozen interne audits uitvoert. U bepaalt zelf hoe en door wie, binnen één harde regel.
Die regel is onafhankelijkheid. De auditor mag zijn eigen werk niet beoordelen. Iemand die het beleid heeft geschreven of de maatregelen heeft ingericht, kan niet objectief vaststellen of dat voldoet.
In grotere organisaties is dat op te lossen door iemand van een andere afdeling te laten auditen. In kleinere organisaties is dat vrijwel onmogelijk, want daar is die ene persoon meestal degene die alles heeft opgezet. Daarom wordt de interne audit dan extern belegd.
Een interne audit hoeft niet in één keer het hele systeem te dekken. U mag met een auditprogramma werken waarin u onderdelen over het jaar verdeelt, mits alles binnen de cyclus aan bod komt. Voor de meeste organisaties is één ronde per jaar overzichtelijker.
Leg het resultaat vast in een rapport met bevindingen, en zorg dat elke bevinding een eigenaar en een termijn krijgt. Dat rapport en de opvolging zijn het bewijs dat de certificerende auditor opvraagt.
Wat de auditor controleert en welk bewijs hij vraagt
Auditors werken met vier soorten bewijs. Wie dat weet, bereidt zich gerichter voor.
- Documenten en registraties. Beleid, procedures, de Verklaring van Toepasselijkheid, het risicoregister, overzichten van rechten en leveranciers.
- Interviews. Gesprekken met medewerkers over hoe zij in de praktijk werken. Hier blijkt of beleid bekend is.
- Observatie. Meekijken hoe iets werkelijk gaat, bijvoorbeeld bij het aanmaken van een account of bij de toegang tot een serverruimte.
- Steekproeven. Een aantal gevallen uitkiezen en het volledige spoor volgen, bijvoorbeeld van een vertrokken medewerker.
Dat laatste is waar het vaakst iets misgaat. Beleid en procedures zijn meestal in orde. Bij een steekproef op vijf vertrokken medewerkers blijkt dan dat er bij twee nog een account openstaat.
De praktische voorbereiding is dus niet het bijwerken van documenten, maar het zelf uitvoeren van die steekproeven voordat de auditor het doet.
Veelvoorkomende bevindingen en wat u eraan doet
Dit zijn de bevindingen die wij het vaakst tegenkomen. Ze zijn bijna allemaal vooraf te voorkomen.
- Toegangsrechten niet beoordeeld. Het beleid schrijft een periodieke controle voor, maar er is geen vastlegging dat die is uitgevoerd.
- Accounts van vertrokken medewerkers actief. Komt vrijwel altijd boven bij een steekproef en is eenvoudig zelf te controleren.
- Directiebeoordeling ontbreekt of is te dun. Er is geen verslag, of het bevat geen besluiten en geen acties.
- Verklaring van Toepasselijkheid sluit niet aan op de risicobeoordeling. Maatregelen zijn uitgesloten zonder onderbouwing.
- Leveranciersoverzicht verouderd. Nieuwe partijen ontbreken en beoordelingen zijn nooit uitgevoerd.
- Acties uit de vorige audit blijven openstaan. Dit weegt zwaar, want het raakt het verbetermechanisme zelf.
- Geen bewijs van bewustwording. Er is training gegeven, maar deelname is niet geregistreerd.
Een bevinding is geen ramp. Kleine afwijkingen handelt u af met een verbeterplan en een termijn. Wat wel zwaar weegt is dezelfde bevinding twee audits achter elkaar, want dan werkt uw systeem niet.
Onafhankelijkheid: wie uw interne audit mag uitvoeren
De vraag is niet wie er verstand van heeft, maar wie er ver genoeg vanaf staat.
De norm sluit uit dat iemand zijn eigen werk beoordeelt. Dat betekent in de praktijk: niet de persoon die het beleid schreef, niet de beheerder die de technische maatregelen inrichtte, en niet de adviseur die het systeem heeft opgebouwd.
Wat wel kan: een collega van een andere afdeling met voldoende kennis van de norm, een interne auditor uit een ander organisatieonderdeel, of een externe partij die niet bij de inrichting betrokken was.
Wij voeren interne audits uit bij organisaties die wij niet zelf hebben begeleid. Hebben wij uw systeem wel ingericht, dan verwijzen wij u voor de interne audit door. Dat is niet formeel verplicht op straffe van iets, maar een auditor die vaststelt dat de adviseur ook de interne auditor was, weegt de uitkomst van die audit lichter.
Zo bereidt u zich in zes stappen voor
Begin ruim vóór de auditdatum. De meeste voorbereiding gaat over bewijs verzamelen, niet over documenten schrijven.
1. Controleer de verplichte documenten
Wij lopen na of scope, beleid, risicobeoordeling en Verklaring van Toepasselijkheid aanwezig, actueel en onderling consistent zijn. U levert de laatste versies aan. Dat levert zekerheid op dat fase 1 geen verrassingen geeft.
2. Verzamel het bewijs per maatregel
Wij bepalen per toegepaste maatregel welk bewijsstuk hoort en waar dat vandaan komt. U vraagt overzichten op bij uw IT-partij en leveranciers. Dat levert een bewijsmap op die de auditor kan volgen.
3. Doe zelf de steekproeven
Wij lopen dezelfde controles als de auditor: vertrokken medewerkers, rechtenwijzigingen, incidenten en leveranciers. U geeft toegang tot de systemen. Dat levert de bevindingen op die u nog zelf kunt oplossen.
4. Voer de interne audit uit
Wij toetsen het systeem onafhankelijk en leggen bevindingen vast met een oordeel per onderdeel. U wijst eigenaren aan voor de bevindingen. Dat levert een verplicht bewijsstuk op en een reëel beeld van waar u staat.
5. Voer de directiebeoordeling
Wij bereiden de agenda en de cijfers voor. U voert de beoordeling werkelijk met de directie en legt de besluiten vast. Dat levert het tweede verplichte bewijsstuk op, dat vrijwel altijd wordt opgevraagd.
6. Bereid de mensen voor
Wij nemen met de betrokken medewerkers door wat een auditor vraagt en hoe zij daarmee omgaan. U zorgt dat zij beschikbaar zijn op de auditdag. Dat levert rustige interviews op, waarin mensen niets hoeven te verzinnen.
De auditcyclus van drie jaar
Een certificaat is drie jaar geldig, met elk jaar een moment van toetsing. Die cyclus bepaalt uw jaarritme.
In jaar één en twee volgt een controleaudit. Die is korter dan de certificerende audit en richt zich op een steekproef, plus de opvolging van eerdere bevindingen en de verplichte onderdelen: interne audit, directiebeoordeling en risicobeoordeling.
In jaar drie volgt de hercertificering, waarbij het volledige systeem opnieuw wordt beoordeeld. Plan die tijdig, want de wachttijd bij certificerende instellingen kan oplopen en een verlopen certificaat betekent in beginsel opnieuw beginnen.
De praktische consequentie: uw interne audit, directiebeoordeling en herbeoordeling van de risico’s zijn geen eenmalige klus maar een jaarlijks ritme. Leg dat vast in uw ISMS met vaste momenten, dan komt het bewijs vanzelf op tijd beschikbaar.
De ISO 27001 audit en de Cyberbeveiligingswet
Valt u ook onder de Cyberbeveiligingswet, dan kunt u het auditwerk grotendeels combineren.
De Cyberbeveiligingswet vraagt dat u de effectiviteit van uw maatregelen beoordeelt. Een interne audit tegen ISO 27001 dekt dat grotendeels af, mits u de onderwerpen meeneemt die de wet extra vraagt: de meldketen met wettelijke termijnen, de ketenbeveiliging en de bestuurlijke verantwoording.
Praktisch betekent dat één auditprogramma met een uitgebreider normenkader, in plaats van twee losse trajecten. Meer daarover staat op onze pagina over de NIS2 audit.
Doorlooptijd en wat de audit van u vraagt
De audit zelf duurt dagen, de voorbereiding weken. Deze factoren bepalen het verschil.
- Omvang van de scope. Meer locaties en diensten betekent meer auditdagen en meer interviews.
- Kwaliteit van de vastlegging. Bewijs dat verspreid staat, kost meer tijd dan bewijs dat geordend klaarligt.
- Aantal openstaande bevindingen. Elke openstaande actie uit een vorige ronde vraagt aandacht.
- Beschikbaarheid van uw mensen. Interviews zijn niet te verplaatsen naar een handiger moment.
- Eerste audit of controleaudit. De eerste toets is aanzienlijk zwaarder dan een jaarlijkse controle.
- Wachttijd bij de instelling. Die bepaalt uw planning en wordt vaak te laat meegenomen.
Wij maken de omvang van uw traject inzichtelijk in een vrijblijvend gesprek.
Zo ondersteunt QENSORA bij uw ISO 27001 audit
Wij bereiden de audit voor en voeren de interne audit uit. Het certificaat komt van een geaccrediteerde instelling.
Die scheiding is de kern van het stelsel. Wij mogen alles doen tot en met de interne audit, mits wij het systeem niet zelf hebben opgebouwd. Hebben wij dat wel gedaan, dan verwijzen wij u voor de interne audit door en blijven wij beschikbaar voor de voorbereiding.
Wat wij toevoegen is dat wij de steekproeven doen die een auditor ook doet. De meeste organisaties bereiden zich voor door documenten bij te werken, terwijl bevindingen vrijwel altijd uit steekproeven komen. Dat is een ander soort voorbereiding.
René van der Horst werkt dertig jaar in IT-leiderschap en begeleidt organisaties bij ISO 27001, NEN 7510 en de Cyberbeveiligingswet. Hij voert de voorbereiding zelf en zegt het als een auditdatum te vroeg is gepland.
Staat u nog aan het begin, kijk dan naar ISO 27001 certificering voor het volledige traject, of naar de gap-analyse om de afstand te bepalen. Zoekt u iemand die het traject van begin tot eind begeleidt, kijk dan naar de ISO 27001 consultant.
Een audit die niets nieuws oplevert
De beste auditvoorbereiding is een systeem dat het hele jaar meebeweegt. Dan komt de auditor niets tegen wat u zelf nog niet wist, en dat is precies het doel.
Wilt u weten of u er klaar voor bent, of zoekt u iemand die de interne audit onafhankelijk uitvoert? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk waar de risico’s zitten.
Veelgestelde vragen over de ISO 27001 audit
Is een interne audit verplicht?
Ja. De norm vraagt dat u met geplande tussenpozen interne audits uitvoert, en zonder die audit komt u de certificerende audit niet door. U bepaalt zelf de frequentie en de opzet, mits het hele systeem binnen de cyclus aan bod komt. Eén ronde per jaar is voor de meeste organisaties werkbaar.
Wie mag onze interne audit uitvoeren?
Iemand die zijn eigen werk niet beoordeelt. Dat kan een collega van een andere afdeling zijn met voldoende normkennis, of een externe partij die niet bij de inrichting betrokken was. De persoon die uw beleid schreef of de maatregelen inrichtte, kan het niet doen.
Wat is het verschil tussen fase 1 en fase 2?
Fase 1 beoordeelt uw documentatie en of u toetsbaar bent: scope, beleid, risicobeoordeling en de Verklaring van Toepasselijkheid. Fase 2 toetst of het systeem in de praktijk werkt, met interviews, observaties en steekproeven. Tussen beide zit meestal enkele weken, zodat u punten uit fase 1 kunt oplossen.
Wat gebeurt er bij een afwijking?
Bij een kleine afwijking levert u een verbeterplan met termijn en loopt het certificaat door. Bij een grote afwijking moet u eerst aantonen dat het is opgelost voordat het certificaat wordt afgegeven of behouden. Terugkerende afwijkingen wegen zwaarder dan nieuwe, omdat ze het verbetermechanisme raken.
Hoelang duurt een certificerende audit?
Dat hangt af van uw omvang en scope. Voor een kleinere organisatie gaat het doorgaans om enkele dagen verdeeld over de twee fasen. De certificerende instelling berekent de auditduur volgens vaste regels, dus die tijd is niet onderhandelbaar en staat in hun offerte.
Hoe bereiden wij onze medewerkers voor?
Neem met hen door wat er gevraagd kan worden en spreek af dat zij eerlijk antwoorden. Een auditor merkt het direct als iemand een antwoord opzegt. Weet iemand iets niet, dan is dat een prima antwoord, mits duidelijk is bij wie het wel bekend is. Instrueer niemand om iets mooier voor te stellen dan het is.
Telt onze ISO 27001-audit ook voor de Cyberbeveiligingswet?
Grotendeels. De wet vraagt dat u de effectiviteit van uw maatregelen beoordeelt, en een interne audit dekt dat af. Neem wel de onderwerpen mee die de wet extra vraagt: de meldketen met wettelijke termijnen, de ketenbeveiliging en de bestuurlijke verantwoording. Eén auditprogramma volstaat dan.
Wat als wij de interne audit hebben overgeslagen?
Dan is dat vrijwel zeker een afwijking, en bij een eerste certificering komt u fase 1 er niet mee door. Plan hem alsnog, ook als de auditdatum dichtbij is. Een beknopte maar echte interne audit met bevindingen is beter dan geen, en het levert u bovendien de punten op die u nog kunt oplossen.
Improved Security, Smarter Compliance.
Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?
Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.
