Що таке внутрішній аудит у ISO 27001?

Огляд

Внутрішній аудит — це систематична, незалежна оцінка вашої СУІБ для перевірки її відповідності вимогам ISO 27001:2022 та ефективності впровадження. Це обов’язкова вимога згідно з пунктом 9.2 та критичний інструмент для виявлення недоліків перед аудитом на сертифікацію.

Внутрішні аудити надають об’єктивні докази того, що ваша СУІБ працює за призначенням, і сприяють постійному вдосконаленню.

Внутрішній аудит на практиці

ISO 27001:2022 вимагає проводити внутрішні аудити через заплановані проміжки часу, щоб оцінити, чи ваша СУІБ:

• Відповідає власним вимогам СУІБ та стандартам ISO 27001:2022
• Ефективно впроваджена та підтримується
• Досягає запланованих результатів, визначених у ваших цілях з інформаційної безпеки

Ви повинні розробити програму аудиту, яка враховує важливість процесів, зміни, що впливають на організацію, та результати попередніх аудитів.

Ключові компоненти внутрішніх аудитів

Планування аудиту

Ваша програма аудиту повинна визначати:

• Частоту аудитів (зазвичай щорічно, але для зон високого ризику можуть знадобитися частіші перевірки)
• Обсяг аудиту, що охоплює всі пункти СУІБ (4–10) та відповідні контролю з Додатка A
• Критерії аудиту на основі вимог ISO 27001:2022 та ваших документованих процедур
• Методи аудиту (перевірка документів, інтерв’ю, спостереження, вибірка)

Проведення аудиту

Під час аудиту слід:

• Переглядати документовану інформацію (політики, процедури, записи)
• Проводити інтерв’ю з власниками процесів та співробітниками
• Спостерігати за впровадженням контролів
• Здійснювати вибірку доказів ефективності контролів
• Документувати результати об’єктивно з наданням доказів

Звітність за результатами аудиту

Пункт 9.2 вимагає зберігати документовану інформацію як доказ результатів аудиту. Ваші звіти про аудит повинні включати:

• Виявлені відповідності та невідповідності
• Можливості для покращення
• Докази, що підтверджують результати
• Вимоги щодо коригувальних дій для невідповідностей

Вимоги до аудиторів

Пункт 9.2 ISO 27001:2022 визначає, що аудитори повинні:

• Бути компетентними в аудиті та інформаційній безпеці
• Бути неупередженими та об’єктивними
• Не проводити аудит власної роботи (вимога незалежності)

Приклад: Менеджер з ІТ-безпеки може проводити аудит процесів HR, але хтось інший повинен перевіряти контролі ІТ-безпеки, за які відповідає цей менеджер.

Частота та терміни проведення аудитів

Хоча ISO 27001:2022 не встановлює конкретних інтервалів, найкращі практики включають:

• Повний аудит СУІБ принаймні раз на рік
• Частіші аудити для критичних або високоризикових областей
• Додаткові аудити після значних змін
• Терміни, що дозволяють вжити коригувальні дії до зовнішніх аудитів на сертифікацію

Типові області аудиту

Ваш внутрішній аудит повинен охоплювати:

• Пункт 4: Контекст, обсяг та межі СУІБ
• Пункт 5: Зобов’язання керівництва та політика
• Пункт 6: Оцінка та обробка ризиків
• Пункт 7: Ресурси, компетентність, обізнаність, комунікація
• Пункт 8: Операційне планування та впровадження контролю
• Пункт 9: Моніторинг, вимірювання, внутрішній аудит, аналіз з боку керівництва
• Пункт 10: Невідповідності та коригувальні дії, постійне вдосконалення
• Додаток A: Відповідні контролі з вашого Переліку застосовності

Пов’язані терміни

• ISMS – Система, що підлягає аудиту
• Management Review – Використовує результати аудиту як вхідні дані
• Control – Окремі заходи безпеки, що оцінюються під час аудитів
• Statement of Applicability – Визначає, які контролі підлягають аудиту