Come verificare la coerenza della documentazione dell'SGSI e la preparazione all'audit utilizzando ISMS Copilot

Questa guida aiuta gli implementatori ISO 27001 a eseguire controlli di coerenza completi sulla documentazione dell'SGSI, mettere alla prova il lavoro di preparazione e verificare la prontezza all'audit prima della certificazione iniziale o degli audit di sorveglianza.

A chi è rivolta

Implementatori ISO 27001, responsabili della sicurezza delle informazioni e responsabili della conformità incaricati di costruire e mantenere un SGSI e prepararsi agli audit di certificazione.

Cosa realizzerai

Caricherai la tua documentazione completa dell'SGSI su ISMS Copilot, identificherai incongruenze tra politiche e procedure, verificherai l'allineamento con i requisiti ISO 27001 e riceverai una valutazione realistica della prontezza alla certificazione con aree di miglioramento specifiche.

La sfida della coerenza

La documentazione dell'SGSI viene creata nel corso di mesi da persone diverse che fanno riferimento a requisiti in evoluzione. Il risultato: le politiche contraddicono le procedure, la Dichiarazione di Applicabilità non corrisponde ai controlli implementati, i trattamenti dei rischi fanno riferimento a procedure inesistenti e nessuno se ne accorge finché non lo segnala l'auditor.

Prerequisiti

• Documentazione dell'SGSI completata, incluse politiche, procedure, Dichiarazione di Applicabilità, valutazione dei rischi e piano di trattamento dei rischi
• Account ISMS Copilot con piano a pagamento (consigliato: 500 caricamenti completati/mese per un uso equo vs 10 del piano gratuito)
• Tutti i documenti in formato PDF o DOC

Passo 1: Crea uno spazio di lavoro dedicato alla preparazione all'audit

Configura uno spazio di lavoro specifico per la revisione completa dell'SGSI e la preparazione all'audit.

1. Crea un nuovo spazio di lavoro denominato "Prontezza Audit [Data]" o "Preparazione Certificazione [Anno]"
2. Seleziona la persona Implementer per un'analisi focalizzata sull'implementazione
3. Mantieni questo spazio di lavoro separato dal lavoro operativo quotidiano dell'SGSI

Passo 2: Carica tutta la documentazione dell'SGSI

Carica tutti i documenti dell'SGSI per abilitare un'analisi incrociata completa tra i documenti.

Documenti critici da caricare:

• Documenti obbligatori: Politica per la Sicurezza delle Informazioni, Dichiarazione di Applicabilità, Valutazione dei Rischi, Piano di Trattamento dei Rischi
• Procedure principali: Controllo degli accessi, gestione delle modifiche, risposta agli incidenti, continuità operativa, backup e ripristino
• Documenti di supporto: Inventario degli asset, contratti con fornitori con clausole di sicurezza, registri della formazione, log degli audit
• Rapporti di audit precedenti: Se disponibili, per il monitoraggio delle azioni correttive

Passo 3: Verifica l'allineamento della Dichiarazione di Applicabilità

Controlla che la tua Dichiarazione di Applicabilità (SoA) rifletta accuratamente ciò che è effettivamente implementato nel tuo SGSI.

Prompt di verifica della SoA:

• "Confronta la mia Dichiarazione di Applicabilità con le procedure caricate. Quali controlli sono contrassegnati come 'applicabili' ma non hanno una procedura corrispondente?"
• "Ci sono controlli contrassegnati come 'non applicabili' nella mia SoA ma citati nel mio piano di trattamento dei rischi?"
• "Rivedi le mie giustificazioni per le esclusioni nella SoA. Sono adeguate secondo la ISO 27001:2022?"
• "Quali controlli dell'Annex A sono menzionati nelle procedure ma mancanti nella mia SoA?"

Passo 4: Identifica le incongruenze tra i documenti

Trova contraddizioni, lacune e disallineamenti nella tua documentazione dell'SGSI.

Prompt di controllo della coerenza:

• "La mia politica di controllo degli accessi prevede revisioni trimestrali, ma la mia procedura dice annuali. Quali documenti si contraddicono sulla frequenza delle revisioni?"
• "Il mio piano di trattamento dei rischi fa riferimento a procedure che non esistono nei documenti caricati?"
• "Confronta i livelli di classificazione dei dati tra la mia politica e la procedura di backup. Sono coerenti?"
• "La mia procedura di risposta agli incidenti menziona un 'Team di Risposta agli Incidenti'. Questo team è definito da qualche parte nella mia documentazione?"
• "Verifica se tutti i ruoli e le responsabilità menzionati nei documenti sono definiti nei miei documenti organizzativi."

Passo 5: Verifica la copertura dei requisiti ISO 27001

Assicurati che la tua documentazione affronti tutti i requisiti obbligatori della ISO 27001:2022 e i controlli applicabili dell'Annex A.

Prompt di verifica della copertura:

• "Verifica i miei documenti caricati rispetto alla Clausola 6 (Pianificazione) della ISO 27001:2022. Cosa manca?"
• "I miei documenti dimostrano come determiniamo e affrontiamo rischi e opportunità secondo la Clausola 6.1?"
• "Verifica la copertura dei requisiti di audit interno della Clausola 9.2 nelle mie procedure"
• "Per ogni controllo contrassegnato come 'applicabile' nella mia SoA, esiste una prova documentata dell'implementazione?"
• "Quali requisiti della Clausola 7 (Supporto) non sono adeguatamente documentati?"

Passo 6: Metti alla prova la tua valutazione e trattamento dei rischi

Convalida che il tuo approccio alla gestione dei rischi soddisfi i requisiti ISO 27001 e abbia senso pratico.

Prompt di sfida alla valutazione dei rischi:

• "Rivedi la mia valutazione dei rischi. I criteri per l'accettazione dei rischi sono chiaramente definiti e applicati in modo coerente?"
• "I rischi identificati sono allineati con il campo di applicazione dell'SGSI e l'inventario degli asset?"
• "Le opzioni di trattamento dei rischi (evitare, trasferire, accettare, ridurre) sono adeguatamente giustificate?"
• "Verifica se il mio piano di trattamento dei rischi include proprietari, tempistiche e stato per ogni rischio. Cosa manca?"
• "Ci sono rischi residui che non sono stati formalmente accettati dalla direzione?"

Passo 7: Valuta le prove di operatività

Determina se disponi di prove sufficienti che il tuo SGSI sia effettivamente operativo, non solo documentato.

Prompt di valutazione delle prove:

• "Quali prove operative si aspetterebbe un auditor per la mia procedura di controllo degli accessi? Le ho?"
• "In base alla mia procedura di risposta agli incidenti, quali registri dovrei avere? Sono menzionati nei miei documenti?"
• "Rivedi il mio piano di continuità operativa. Quali prove di test si aspetterebbero gli auditor?"
• "Le mie procedure specificano periodi e formati di conservazione dei registri? Sono coerenti?"

Passo 8: Ottieni una valutazione della prontezza

Richiedi una valutazione complessiva della prontezza alla certificazione con priorità di miglioramento specifiche.

Prompt di valutazione della prontezza:

• "In base a tutti i documenti caricati, valuta la mia prontezza per la certificazione iniziale ISO 27001:2022. Quali sono i 5 principali rischi per la certificazione?"
• "Cosa potrebbe probabilmente risultare in non conformità maggiori se oggi andassi in audit?"
• "Quali aree del mio SGSI sono più deboli in base alla documentazione?"
• "Crea un elenco di controllo pre-audit priorizzato per livello di rischio"
• "Se fossi un auditor che esamina questi documenti, cosa metteresti in discussione o sfideresti?"

Passo 9: Prepara l'audit di sorveglianza

Per gli audit di sorveglianza, verifica che le modifiche apportate dalla certificazione non abbiano introdotto incongruenze.

Prompt specifici per la sorveglianza:

• "Confronta le mie procedure attuali con il rapporto di audit precedente. Sono state affrontate tutte le non conformità?"
• "Quali modifiche sono state apportate alla mia documentazione SGSI dall'ultimo audit? Sono riflesse in modo coerente?"
• "Rivedi i verbali delle riunioni di riesame della direzione. Dimostrano un miglioramento continuo?"
• "Ci sono nuovi rischi o controlli che dovrebbero essere nella mia SoA ma non lo sono?"

Incongruenze comuni identificate da ISMS Copilot

• Disallineamenti terminologici: "Sensibile" vs. "Riservato" usati in modo intercambiabile senza definizione
• Conflitti nella frequenza delle revisioni: La politica dice trimestrale, la procedura dice annuale
• Riferimenti orfani: Documenti che citano procedure, team o sistemi che non esistono
• Fuoriuscite dallo scope: Procedure che fanno riferimento a località o sistemi al di fuori del campo di applicazione definito dell'SGSI
• Problemi di controllo delle versioni: Documenti che fanno riferimento a versioni obsolete di altri documenti
• Lacune nelle responsabilità: Procedure che assegnano compiti a ruoli non definiti o posizioni vacanti
• Disallineamento della SoA: Controlli contrassegnati come "non applicabili" ma chiaramente necessari in base alla valutazione dei rischi

Best practice per il controllo della coerenza

• Carica tutto in una volta: ISMS Copilot analizza le relazioni tra tutti i documenti simultaneamente
• Risolvi in modo sistematico: Affronta prima le questioni fondamentali (terminologia, ruoli, scope) prima delle incongruenze di dettaglio
• Verifica le correzioni: Dopo aver risolto i problemi, ricarica i documenti aggiornati e ricontrolla
• Documenta la revisione: Salva la cronologia della chat come prova di diligenza dovuta per gli auditor
• Coinvolgi i proprietari dei documenti: Condividi i risultati di ISMS Copilot con le persone responsabili di ciascun documento
• Non affidarti troppo all'IA: La revisione manuale da parte di persone competenti rimane essenziale; ISMS Copilot assiste ma non sostituisce l'expertise

Prepararsi alle domande dell'auditor

Usa ISMS Copilot per anticipare le domande dell'auditor e preparare le prove:

• "Quali domande farebbe un auditor sulla mia procedura di gestione delle modifiche?"
• "Se un auditor campiona le mie revisioni degli accessi, quali prove dovrei avere pronte?"
• "Quali documenti richiederà l'auditor durante la revisione della documentazione della Fase 1?"
• "Genera un elenco di probabili domande per il nostro responsabile IT in base ai controlli documentati"

Cosa ISMS Copilot non può verificare

Limitazioni importanti da comprendere:

• Implementazione effettiva: ISMS Copilot esamina i documenti, non i tuoi sistemi, processi o registri effettivi
• Efficacia: L'IA non può determinare se i tuoi controlli funzionano effettivamente nella pratica
• Fattori culturali: Gli auditor valutano la cultura della sicurezza, l'impegno della direzione e la consapevolezza dei dipendenti, non solo i documenti
• Configurazioni tecniche: ISMS Copilot non esamina le regole del firewall, le impostazioni del server o la sicurezza delle applicazioni

Risorse correlate

• ISMS Copilot for Startup CISOs and Security Implementers - Flussi di lavoro di implementazione e analisi delle lacune
• How to conduct ISO 27001 gap analysis using ISMS Copilot - Tecniche di identificazione iniziale delle lacune
• How to prepare for ISO 27001 internal audits using AI - Preparazione all'audit interno per la conformità continua

Passi successivi

Dopo aver affrontato le questioni di coerenza e verificato la prontezza all'audit, conduci un audit interno formale utilizzando la tua documentazione corretta per validare che il tuo SGSI operi come documentato prima di programmare l'audit di certificazione.