Interne audit op ISO 27001

Nee. De norm vraagt een auditprogramma dat rekening houdt met het belang van de processen en met de resultaten van eerdere audits, niet dat je jaarlijks alles langsloopt. In de praktijk verdelen we de toegepaste maatregelen over de driejarige certificatiecyclus, waarbij de maatregelen met het hoogste risico en die met eerdere bevindingen vaker terugkomen. Wat wel elk jaar aan bod komt, zijn de clausules van het managementsysteem zelf: risicobeoordeling, directiebeoordeling, incidenten en verbeteracties.

Een penetratietest onderzoekt of een specifieke technische omgeving aanvalbaar is. Een interne audit op ISO 27001 beoordeelt of je managementsysteem werkt: of je de juiste risico's hebt bepaald, of de maatregelen die je daarvoor koos zijn ingevoerd, en of je merkt en opvolgt wanneer iets misgaat. Ze vullen elkaar aan. Een pentest kan bewijs van werking zijn voor een technische maatregel, maar vervangt de interne audit niet, en een interne audit vervangt de pentest niet.

Iemand die competent is en onafhankelijk van het onderdeel dat hij beoordeelt. Dat hoeft geen IT-specialist te zijn: de audit gaat over het systeem, niet over configuratie. Wat niet mag, is dat de persoon die het ISMS heeft opgezet of het beleid heeft geschreven zijn eigen werk beoordeelt, en dat is precies waar kleinere organisaties tegenaan lopen. Wij worden daarom ook ingezet naast een interne auditor, die dan de onderdelen doet waar hij zelf niet over gaat.

Ja. NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en volgt dezelfde systematiek als ISO 27001, met aanvullende eisen die specifiek gaan over patiëntgegevens. De interne audit werkt daarom hetzelfde: van risicobeoordeling naar toegepaste maatregelen naar bewijs van werking. Werk je met beide normen, dan auditen we ze gecombineerd en houden we in het rapport de eisen uit NEN 7510 apart zichtbaar.

Een jaarlijkse ronde die afgerond is voor de directiebeoordeling en de externe audit werkt voor de meeste organisaties. Belangrijker dan de frequentie is dekking: over de certificatiecyclus moeten alle clausules en alle toegepaste beheersmaatregelen aan bod zijn geweest. Na een beveiligingsincident, een migratie of een nieuwe dienstverlener plannen we een extra audit op dat onderwerp, ongeacht wat het programma zegt.

Een auditrapport met de scope en criteria die zijn gehanteerd, de bevindingen per onderdeel met verwijzing naar de clausule of beheersmaatregel, de afwijkingen met onderbouwing en de aandachtspunten en verbeterkansen. Daarnaast krijg je het bijgewerkte overzicht van je auditprogramma, zodat aantoonbaar is welke onderdelen zijn afgedekt en wat er in de volgende ronde staat. Wij bepalen niet wie de opvolging doet, dat blijft bij jou, maar we denken mee over de oorzaak zodat je het probleem oplost en niet het symptoom.