Che cos'è un Audit Interno nella ISO 27001?

Panoramica

Un Audit Interno è una valutazione sistematica e indipendente del tuo SGSI per verificare che sia conforme ai requisiti della ISO 27001:2022 e sia implementato efficacemente. È un requisito obbligatorio secondo la Clausola 9.2 e uno strumento fondamentale per identificare le lacune prima dell'audit di certificazione.

Gli audit interni forniscono prove oggettive che il tuo SGSI funziona come previsto e aiutano a promuovere il miglioramento continuo.

Audit Interno nella Pratica

La ISO 27001:2022 richiede di condurre audit interni a intervalli pianificati per valutare se il tuo SGSI:

• È conforme ai requisiti del tuo SGSI e agli standard ISO 27001:2022
• È implementato e mantenuto efficacemente
• Raggiunge gli esiti previsti definiti nei tuoi obiettivi di sicurezza delle informazioni

Devi stabilire un programma di audit che tenga conto dell'importanza dei processi, dei cambiamenti che influenzano l'organizzazione e dei risultati degli audit precedenti.

Componenti Chiave degli Audit Interni

Pianificazione dell'Audit

Il tuo programma di audit deve definire:

• La frequenza degli audit (tipicamente annuale, ma le aree ad alto rischio potrebbero richiedere revisioni più frequenti)
• Il campo di applicazione dell'audit che copre tutte le clausole del SGSI (4-10) e i controlli applicabili dell'Allegato A
• I criteri di audit basati sui requisiti della ISO 27001:2022 e sulle tue procedure documentate
• I metodi di audit (revisione dei documenti, interviste, osservazione, campionamento)

Conduzione dell'Audit

Durante l'audit, dovresti:

• Revisionare le informazioni documentate (politiche, procedure, registri)
• Intervistare i responsabili dei processi e il personale
• Osservare l'implementazione dei controlli
• Campionare le prove dell'efficacia dei controlli
• Documentare i risultati in modo oggettivo con prove

Report dell'Audit

La Clausola 9.2 richiede di conservare le informazioni documentate come prova dei risultati dell'audit. I tuoi report di audit dovrebbero includere:

• Conformità e non conformità identificate
• Opportunità di miglioramento
• Prove a supporto dei risultati
• Requisiti di azione correttiva per le non conformità

Requisiti dell'Auditor

La Clausola 9.2 della ISO 27001:2022 specifica che gli auditor devono:

• Essere competenti in materia di audit e sicurezza delle informazioni
• Essere imparziali e obiettivi
• Non auditare il proprio lavoro (requisito di indipendenza)

Esempio: Un responsabile della sicurezza IT può auditare i processi HR, ma qualcun altro deve auditare i controlli di sicurezza IT di cui il responsabile è responsabile.

Frequenza e Tempistica degli Audit

Sebbene la ISO 27001:2022 non imponga intervalli specifici, le best practice includono:

• Audit completo del SGSI almeno una volta all'anno
• Audit più frequenti per le aree critiche o ad alto rischio
• Audit aggiuntivi dopo cambiamenti significativi
• Tempistica che consenta l'azione correttiva prima degli audit di certificazione esterni

Aree Comuni di Audit

Il tuo audit interno dovrebbe coprire:

• Clausola 4: Contesto, campo di applicazione e confini del SGSI
• Clausola 5: Impegno della leadership e politica
• Clausola 6: Valutazione e trattamento dei rischi
• Clausola 7: Risorse, competenza, consapevolezza, comunicazione
• Clausola 8: Pianificazione operativa e implementazione dei controlli
• Clausola 9: Monitoraggio, misurazione, audit interno, riesame della direzione
• Clausola 10: Non conformità e azione correttiva, miglioramento continuo
• Allegato A: Controlli applicabili dal tuo SoA

Termini Correlati

• SGSI – Il sistema oggetto di audit
• Management Review – Utilizza i risultati dell'audit come input
• Controllo – Misure di sicurezza individuali valutate negli audit
• Dichiarazione di Applicabilità – Definisce quali controlli auditare