ISO 27001 audit checklist: zo bereidt u zich voor

Een ISO 27001 audit checklist is geen lijst die u afvinkt en inlevert. Het is een hulpmiddel om zelf te toetsen wat een auditor gaat vragen, zodat er tijdens de echte audit geen verrassingen zijn.

Wat auditors doen is namelijk voorspelbaar. Ze kiezen een aantal maatregelen uit uw documentatie, vragen wie erover gaat, en vragen om bewijs dat het werkt. Dat is het patroon, elke keer.

Hieronder staat per onderdeel waar naar wordt gekeken, en hoe u dat zelf vooraf test.

Documentatie: de basis

Dit komt in fase 1 aan bod en het is het snelst te controleren.

• Is de scope vastgelegd, en dekt hij waar uw klanten naar vragen?
• Is het informatiebeveiligingsbeleid vastgesteld door de directie, met datum en versie?
• Bestaat de risicobeoordeling, met criteria die vooraf zijn afgesproken?
• Is de verklaring van toepasselijkheid compleet, met onderbouwing per uitsluiting?
• Kloppen de verwijzingen in die verklaring, dus bestaan de documenten waarnaar wordt verwezen?

Die laatste levert de meeste bevindingen op en is tegelijk het makkelijkst te voorkomen. Loop uw eigen verwijzingen na en klik ze door.

Rollen en mandaat

De auditor wil weten wie waarover gaat, en hij toetst dat door het aan mensen zelf te vragen.

• Wie is verantwoordelijk voor het systeem als geheel?
• Wie zijn de risico-eigenaren, en weten die dat zelf?
• Heeft de directiebeoordeling plaatsgevonden, met besluiten en niet alleen een presentatie?

Test dit door een risico-eigenaar te vragen welk risico hij draagt. Weet die het niet, dan bestaat de rol op papier maar niet in de praktijk.

Maatregelen: het bewijs

Hier zit fase 2 en hier ontstaan de meeste bevindingen. Per gekozen maatregel is de vraag steeds dezelfde: gebeurt het, en kunt u het laten zien.

• Toegangsbeheer. Wanneer zijn de rechten voor het laatst beoordeeld, en waar staat dat?
• Uit dienst. Neem een medewerker die is vertrokken. Zijn alle accounts en toegangen ingetrokken, en wanneer?
• Back-up. Wanneer is een herstel voor het laatst beproefd? Een back-up die nooit is teruggezet is een aanname.
• Bewustwording. Wie heeft de training gevolgd, en waar staat de registratie?
• Incidenten. Laat het register zien. Staat er echt iets in, en is er iets mee gedaan?
• Leveranciers. Welke partijen hebben toegang, wat is contractueel afgesproken en wanneer is dat beoordeeld?

Doe deze zes zelf, met een stopwatch. Wat u niet binnen een dag kunt aanleveren, vindt de auditor ook niet.

De cyclus

Tot slot wordt gekeken of het systeem draait en niet alleen bestaat.

• Heeft de interne audit plaatsgevonden, en door iemand die niet over eigen werk oordeelde? Zie de ISMS-audit.
• Zijn de bevindingen van vorige keer opgevolgd, met datum en resultaat?
• Is de risicobeoordeling het afgelopen jaar herzien?
• Zijn wijzigingen in de organisatie verwerkt in scope, risico’s en maatregelen?

Openstaande bevindingen uit een vorige ronde vallen altijd op. Los ze op of leg vast waarom ze bewust open staan, met een termijn erbij. Zie de PDCA-cyclus.

Doe een proefaudit van een halve dag

De meest onderschatte voorbereiding is een generale repetitie. Niet het hele systeem, maar een halve dag waarin iemand precies doet wat de auditor gaat doen.

Werkwijze: laat iemand die er niet dagelijks in zit vijf maatregelen kiezen uit uw verklaring van toepasselijkheid. Laat die persoon vragen wie erover gaat, hoe het is ingericht en waar het bewijs staat. Noteer per maatregel hoe lang het duurde voordat het er lag.

Wat daaruit komt is bijna altijd hetzelfde beeld. De maatregel bestaat, de verantwoordelijke weet ervan, maar het bewijs staat op een plek die niemand meteen weet. Dat is precies de bevinding die u wilt voorkomen, en hij is in een middag op te lossen door het bewijs bij de maatregel te leggen in plaats van op een netwerkschijf.

Doe deze proef ruim voor de audit, niet in de week ervoor. Dan is er nog tijd om wat naar boven komt echt op te lossen in plaats van te maskeren.

De vijf bevindingen die het vaakst terugkomen

Auditors zien overal dezelfde dingen. Wie deze vijf vooraf wegwerkt, haalt het grootste deel van de bevindingen eruit.

Een verwijzing die nergens heen gaat. In de verklaring staat dat iets in een bepaald document is geregeld, en dat document bestaat niet of gaat er niet over. Dit is in een uur te controleren.

Een account dat open bleef staan. Iemand is uit dienst maar zijn toegang niet ingetrokken. Vaak omdat de melding vanuit personeelszaken niet automatisch bij IT komt.

Een back-up die nooit is teruggezet. De back-up draait, dat is te zien. Of hij ook werkt weet niemand, want er is nooit een herstel beproefd.

Een leeg incidentregister. Er staat niets in, en dat is geen goed nieuws maar een signaal. Elke organisatie heeft incidenten; een register zonder regels betekent dat er niet wordt geregistreerd.

Bevindingen van vorig jaar die nog openstaan. Zonder toelichting en zonder termijn. Dat valt altijd op, want de auditor pakt zijn eigen vorige rapport erbij.

Wat u niet hoeft te doen

Rond audits ontstaat vaak meer werk dan nodig. Drie dingen kunt u gerust laten.

U hoeft geen map met alle documenten voor te bereiden. De auditor bepaalt zelf zijn steekproef en vraagt gericht. Een berg papier vooraf helpt niemand en kost u dagen.

U hoeft niet elke medewerker te briefen op wat hij moet zeggen. Dat werkt averechts: gerepeteerde antwoorden vallen op en nodigen uit tot doorvragen. Een collega die eerlijk zegt dat hij het niet weet maar wel weet wie het wel weet, is een prima antwoord.

En u hoeft niet alles opgelost te hebben. Een maatregel die aantoonbaar in uitvoering is, met een verantwoordelijke en een termijn, is verdedigbaar. Wat niet werkt is een maatregel die op ja staat terwijl er niets gebeurt, want dat is een onjuiste verklaring in een document dat u zelf heeft vastgesteld.

Veelgestelde vragen over de ISO 27001 audit checklist

Moet ik een checklist aanleveren bij de audit?

Nee. Een checklist is uw eigen hulpmiddel om vooraf te toetsen. De auditor werkt met zijn eigen aanpak en baseert zijn steekproef op uw documentatie, met name op de verklaring van toepasselijkheid.

Hoe lang van tevoren begin ik met voorbereiden?

Het bewijs verzamelt u het jaar rond, niet vlak voor de audit. Wat u wel kort van tevoren doet is uw eigen steekproef: pak vijf maatregelen en kijk hoe snel u het bewijs op tafel heeft.

Wat is de meest voorkomende bevinding?

Een verwijzing die nergens heen gaat. In de verklaring staat dat iets in een bepaald document is geregeld, en dat document bestaat niet of behandelt het onderwerp niet. Dat is in een uur te controleren en dus zonde om te laten liggen.

Mag ik bij de audit zeggen dat ik iets niet weet?

Ja, en dat is beter dan iets verzinnen. Een auditor waardeert een eerlijk antwoord met een toezegging om het na te zoeken. Een antwoord dat later niet klopt, kost u meer.

Wat als een maatregel nog niet af is?

Leg vast dat het loopt, met een verantwoordelijke en een termijn. Een maatregel in uitvoering met een plan is iets anders dan een maatregel die op ja staat terwijl er niets gebeurt. Dat laatste is een onjuiste verklaring.