Hoe gaat een ISO 27001:2017 audit in zijn werk?

Het is zover; je organisatie gaat richting het einde van een ISO 27001 traject en dus nadert het moment waarop de ISO 27001 externe audit in beeld komt. Een belangrijk moment op weg naar certificering. Een externe audit wordt altijd uitgevoerd door een Certificerende Instantie (CI). We kunnen ons voorstellen dat je als organisatie daarom benieuwd bent naar hoe zo’n externe audit voor ISO 27001 nu eigenlijk in zijn werk gaat? En waar je als organisatie precies op moet letten? Om je daar een beeld van te geven delen we in dit blogartikel onze praktijkervaring.

Net als bij de ISO 9001 audit bestaat de ISO 27001 audit uit twee fases. Hieronder worden deze twee fasen nader toegelicht:

In de eerste fase van de ISO 27001 externe audit vindt het vooronderzoek plaats. Daarin ligt voornamelijk de focus op het onderzoeken van de documentatie (lees: het Information Security Managementsysteem). Daarnaast wordt bekeken of alle (verplichte) beleidsdocumenten zijn opgesteld en ook aantoonbaar zijn geïmplementeerd. Vervolgens stelt de Certificerende Instantie vast of de organisatie klaar is voor fase 2 van de ISO 27001 audit.

Documentatie die in de ISO 27001 audit fase 1 o.a. van belang is:

In fase 2 vindt het certificeringsonderzoek plaats. Gedurende deze fase is de auditor meerdere dagen bij de organisatie op locatie aanwezig. De auditor onderzoekt of de organisatie de vastgestelde acties die (mogelijk) uit fase 1 naar voren zijn gekomen heeft uitgevoerd en bekijkt hoe deze zijn opgelost. Verder onderzoekt de externe auditor hoe de organisatie de annex A geïmplementeerd heeft en wordt bekeken of dit voldoet aan de ISO 27001 norm. Daarnaast houdt de auditor ook in fase 2 diverse interviews met medewerkers van verschillende afdeling om zo te verifiëren of er daadwerkelijk gewerkt wordt zoals in het beleid, de procedures en werkinstructies is vastgelegd.

Documentatie die in fase 2 van belang is:

Bij CertificeringsAdvies Nederland krijgen we regelmatig de vraag gesteld hoelang een ISO 27001 externe audit duurt? Daar is helaas geen eenduidig antwoord op te geven. Het hangt namelijk af van het aantal medewerkers en de (ICT) complexiteit van de organisatie.

Uit de doelstelling en het voorbeeld-bewijs in voorgaand hoofdstuk blijkt al dat auditoren op zoek zijn naar verschillende soorten bewijs. Daar horen dus ook verschillende manieren van onderzoeken bij. De geaccrediteerde certificerende instellingen die externe audits uitvoeren, hebben hier formele spelregels voor (en worden op hun beurt gecontroleerd door de Raad voor Accreditatie). De principes van de externe audit kunnen ook worden toegepast bij de interne audit. Een verschil daarbij is zoals al genoemd dat er bij een interne audit wél ruimte is voor verbetersuggesties (voor zover er tijd is binnen de planning). Bij externe audit kan de auditee hier beter niet om vragen.

In principe is een auditor altijd op zoek naar meerdere vormen van bewijs voor elk onderwerp. Neem bijvoorbeeld een onderwerp als “periodieke controles” (vaak geborgd door een operationele planning / actielijst). Daarbij kan hij of zij kijken naar bewijsvormen als:

Documenten en registraties:

Interviews:

Observaties:

In de praktijk betekent dit dat de auditor de auditee vraagt hoe iets werkt. Het antwoord op een vraag is daarmee gelijk een stukje interview en kan uitgediept worden. De auditee laat op een gegeven moment uit zichzelf bewijs zien of de auditor vraagt daar expliciet naar.

Omdat de audit kijkt naar zowel de norm als de manier waarop een organisatie handelt (zie onderdeel ‘doel’ hierboven) kan een auditor de vraag op verschillende manieren stellen. Zo kan een auditor zeggen:

Een ander voorbeeld van verschillende vraagstijlen is:

Bij een interne audit zijn de vragen vaak meer organisatiegericht, bij een externe audit varieert het tussen organisatie- en normgericht. De manier waarop de vraag gesteld wordt, kan het best worden aangepast aan de rol en verantwoordelijkheid van de auditee.

Je bent uitgenodigd als ‘auditee’ (iemand die tijdens een audit vragen beantwoordt). Dat betekent dat je een auditor gaat laten zien hoe je (een deel van je werk) doet. Het doel daarvan is om vast te stellen:

Audits zijn er in meerdere vormen: het meest voorkomende verschil is of de auditor je collega is (interne audit) of een externe deskundige.

De Security Officer (SO) of de Technisch Beheerder als auditee

Dat moment van ‘laten zien’ gaat volgens een auditagenda (hoe laat gaat het, met wie, over welk onderwerp op dag x) en volgt een langer auditprogramma (welk thema komt wanneer aan bod in een cyclus van 3 jaar). De verantwoordelijke voor het auditprogramma zorgt er voor dat de relevante onderwerpen voldoende vaak aan bod komen zodat aangetoond kan worden dat de werking van het hele systeem effectief is en aan de totale norm voldoet. Als het om een interne audit gaat, stelt een interne verantwoordelijke (hierna “Security Officer”) het programma en de specifieke agenda’s op, op basis van risico’s. Bij een externe audit is dit in samenspraak met de certificerende instelling. Je wordt gekozen voor onderwerpen waar je normaliter zelf (mede)uitvoerder van bent. Diezelfde Security Officer helpt jou natuurlijk (al eerder) op pad (en is zelf ook auditee).

Als de Security Officer de auditee is, dan wordt van hem of haar verwacht dat hij de formele normeisen (her)kent en kan een auditvraag open en algemeen gehouden worden. Het antwoord geeft daarmee hopelijk de meest direct relevante en praktische informatie (en mogelijk gelijk antwoord op meerdere punten). De vragen zullen algemeen gesproken aan over managementprincipes en – hoe groter de organisatie – minder over de technische uitvoering. Een Security Officer (of Security Team) kent de norm en de manier waarop de organisatie die invult. Waarbij dit ‘kennen’ uiteraard ondersteund kan worden door het eigen systeem: een wandelende encyclopedie is niet nodig. En een Security Officer heeft specialisten in de eigen organisatie om bepaalde thema’s uit te leggen (bijvoorbeeld waarom een bepaald niveau van encryptie wordt toegepast).

Als de (technisch) beheerder van een belangrijk informatiesysteem geauditeerd wordt, dan is A tot Z kennis van alle onderdelen van een norm en het managementsysteem minder belangrijk. De auditee moet wel weten dat er een managementsysteem is waarin hij de zaken die hij niet dagdagelijks doet op kan zoeken (of collega’s als de security officer waar hij dingen aan kan vragen), bijvoorbeeld een procedure voor vernietigen van harde schijven. Het gaat er met name om: is duidelijk welke uitvoerende activiteiten hij (voor zover relevant voor informatiebeveiliging) moet doen, hoe, wat het gewenste resultaat is, en wordt het resultaat gehaald. Hoe kleiner de organisatie, hoe meer rollen of onderwerpen binnen 1 persoon samenkomen, dus hoe meer vragen er aan die persoon gesteld kunnen worden.

Hoe meer en makkelijker de auditee weet wat het doel van de vraag of het onderwerp is, hoe makkelijker hij of zij vertelt, en hoe makkelijker het duidelijk wordt hoe het systeem werkt en hoe doeltreffend het is. Dat kan een hoop detailvragen en gezoek schelen. En, niet onbelangrijk, dit leidt in de praktijk van elke dag tot het juiste gedrag.
Als de auditee bijvoorbeeld een beleid en procesbeschrijving laat zien, voordoet hoe een handeling gaat en de bijbehorende registratie volledig en consistent is, dan zal de auditor waarschijnlijk bedanken voor het antwoord (de bevinding is dan “voldoet”) en doorgaan naar het volgende onderwerp. Wat als dat niet zo makkelijk loopt? In eerste instantie kan dat. Mensen worden niet dagelijks geaudit, dus enige onwennigheid kan er zijn, dus daar houdt de planning rekening mee. Als het alsnog niet lukt: een verwacht beleidsstuk is, ook met navragen bij een collega, geheel niet te vinden. Of het beleid is er wel maar de back-up wordt in de praktijk nooit uitgevoerd. Dan is er een negatieve bevinding of te wel een afwijking. Dat kan een kleine bevinding zijn (het onderdeel van het systeem bestaat en wordt uitgevoerd, maar niet helemaal volgens de regels) of een grote (een belangrijk onderdeel ontbreekt bijvoorbeeld helemaal, zoals een directiebeoordeling). Bij een kleine bevinding wordt doorgevraagd of er een onderliggende oorzaak is. Het is belangrijk om te duiden of er iets misgaat op een uitvoerend detail of dat de gekozen werkwijze geheel niet aansluit bij het te beheersen risico voor de organisatie.

Bevindingen worden tijdens de audit teruggekoppeld aan de auditee zodat deze de logica van de auditor snapt en eventueel kan corrigeren. Dit is dus ook zeker een moment waar je als auditee aan kan geven als die logica niet klopt, of dat er misschien nog andere feiten zijn die meegenomen moeten worden. Het lijkt voor de hand liggend, maar voor auditees is het goed om te weten: er wordt gezocht naar feiten, niet fouten. Een (goede) auditor is niet op zoek naar zoveel mogelijk afwijkingen, maar geeft weer wat goed en niet goed gaat. Het is wel een gemiste kans (en opmerkelijk) als er geen enkele afwijking of verbetersuggestie uit een audit komt. Voor organisaties die al lange tijd een stabiel systeem hebben (of uit willen gaan van het positieve) is een nieuwe trend het ‘waarderend auditen’. Dit zoekt positieve punten en probeert deze te versterken.

Logischerwijs zal bij het opvolgen van bevindingen na de audit, de auditee ook betrokken worden. De auditor maakt zijn rapport en deelt het met de organisatie – in ieder geval de Security Officer. Deze volgt de auditbevindingen op. Logischerwijs zullen de auditees (en hun teams / afdelingen) hierbij ook betrokken worden. Afhankelijk van de aard van de bevindingen en de soort audit kan het nodig zijn dat er een aanvullende audit volgt. Deze zal dan controleren of de getroffen maatregelen effectief zijn. Door deze opvolging wordt de prestatie van de organisatie beter – en is informatie dus beter beschikbaar, integer en vertrouwelijk.

Wil jij vol vertrouwen de ISO 27001 audit tegemoet? Dan adviseren wij van CertificeringsAdvies Nederland je om allereerst een ISO 27001 interne audit uit te laten voeren. Wanneer je een interne audit uit laat voeren:

Wanneer de externe audit voor de deur staat is het dus verstandig om eerst een interne ISO 27001 audit uit te laten voeren. CertificeringsAdvies Nederland kan deze interne audit voor je verzorgen. In dat geval komt één van onze ervaren ISO 27001 adviseurs bij je langs om kritisch naar je organisatie te kijken. Daarbij krijg je praktisch advies en ontvang je een intern auditrapport (wat vereist is voor certificering) waarin alle bevindingen, tekortkomingen en verbeterpunten zijn opgenomen. Met dit auditrapport kun je de laatste stappen zetten op weg naar een succesvolle certificering!