Wat een ISO 27001-audit werkelijk toetst
Er bestaat een hardnekkig misverstand over de ISO 27001-audit. Namelijk dat een auditor komt kijken of je beveiliging goed is.
Dat doet hij niet.
Hij komt kijken of je een systeem hebt dat bepaalt wat goed genoeg is voor jouw organisatie, of je dat systeem daadwerkelijk uitvoert en of je dat kunt aantonen.
Dat verschil verklaart waarom technisch sterke bedrijven soms afwijkingen krijgen en administratief nette bedrijven verrassend soepel doorkomen. In dit domein telt wat je kunt aantonen, niet wat je hebt gedaan.
Hieronder de zeven punten die in vrijwel elke ISO 27001-audit langskomen, met per punt waar het in de praktijk misgaat.
De twee fases van een certificeringsaudit
Voordat we de zeven punten doorlopen, kort de structuur. Een initiële certificering verloopt in twee fases.
Fase 1 is een documentbeoordeling. De auditor kijkt of je managementsysteem op papier compleet is en of je klaar bent voor de inhoudelijke toets. Bevindingen hier zijn zelden fataal, ze zijn een waarschuwing.
Fase 2 is de inhoudelijke audit. Hier wordt getoetst of het systeem werkt en of je het kunt aantonen. Dit is waar afwijkingen ontstaan.
Daarna volgen jaarlijkse controle-audits en na drie jaar een hercertificering. Een certificaat is geen eindpunt maar een toestand die je onderhoudt.
De 7 punten die een auditor altijd controleert
1. Je scope en of die te verdedigen is
De eerste vraag is altijd wat er wel en niet binnen de certificering valt. De vervolgvraag is belangrijker: waarom.
Je mag afbakenen. Je mag onderdelen buiten sluiten. Wat je niet mag is een grens trekken die niet te onderbouwen valt, bijvoorbeeld wanneer een uitgesloten systeem wel degelijk gegevens raakt die binnen de scope vallen.
Waar het misgaat: een scope die is gekozen op basis van wat makkelijk was in plaats van wat logisch is. Zorg dat je scope in één alinea uit te leggen is en dat de grens ergens op gebaseerd is.
2. De verklaring van toepasselijkheid
Dit is het belangrijkste document in het hele traject en tegelijk het meest onderschatte. Daarin staat welke beheersmaatregelen uit de norm op jou van toepassing zijn en bij elke maatregel die je niet toepast een onderbouwing waarom niet.
Waar het misgaat: een sjabloon overnemen en alles aanvinken. Dat valt onmiddellijk op, want dan verklaar je maatregelen van toepassing die je aantoonbaar niet uitvoert. Een korte lijst met eerlijke uitsluitingen is sterker dan een volledige lijst die je niet waarmaakt.
3. Je risicobeoordeling
Twee vragen komen hier altijd. Welke methode gebruik je en heb je die methode ook echt toegepast.
Een auditor herkent binnen een minuut het verschil tussen een risicobeoordeling die één keer is ingevuld en daarna in een map verdween en een die leeft. Het verschil zit in de datums, in de wijzigingen en in de vraag of er ooit iets uit voortgekomen is.
Waar het misgaat: een risicobeoordeling die nooit tot een beslissing heeft geleid. Dat is geen beoordeling maar een document.
4. De directiebeoordeling
Hier wordt getoetst of de leiding daadwerkelijk gekeken heeft. Niet of ze het goedgekeurd hebben, maar of ze het bekeken hebben, met welke informatie en welke besluiten daaruit volgden.
Waar het misgaat: een directie die het traject volledig heeft gedelegeerd. Merkt een auditor dat, dan gaat hij dieper zoeken. Dit is opvallend goedkoop om goed te doen: een vast agendapunt, één keer per jaar, met een verslag waarin staat wat er besproken is en wat er is besloten.
5. Je interne audit
Je moet jezelf hebben getoetst voordat een ander dat doet.
En hier het contra-intuïtieve deel: een interne audit die niets heeft gevonden, is een probleem. Dat leest een auditor niet als kwaliteit maar als een audit die niet serieus is uitgevoerd. Elke organisatie heeft afwijkingen. Vind ze zelf, dat is precies wat je wilt laten zien.
6. Bewijs dat je het ook echt doet
Dit is waar het scheidt. Beleid is een belofte, bewijs is de uitvoering.
Zegt je beleid dat toegangsrechten elk kwartaal worden herzien, dan wil een auditor de vier herzieningen van dit jaar zien, met datum en met wie het deed.
Fictief markt-scenario ter illustratie. Volledig verzonnen, didactisch, niet gebaseerd op een bestaande organisatie.
Een MSP heeft alles technisch op orde. Endpointbescherming, logging, back-ups, meervoudige authenticatie, allemaal actief. Het beleid is netjes geschreven.
Bij de audit vraagt de auditor om het bewijs van de kwartaalcontrole op toegangsrechten. Die controle is nooit vastgelegd. Waarschijnlijk is hij informeel wel uitgevoerd, maar er is niets van terug te vinden.
Resultaat: een afwijking. Niet omdat de beveiliging tekortschoot, maar omdat er geen bewijs is dat ze werkte.
7. Afwijkingen en wat je ermee deed
Tot slot kijkt een auditor naar wat eerder misging: meldingen, incidenten, bevindingen uit je eigen interne audit.
Wat hij wil zien is niet dat er niets misging. Hij wil zien dat er iets is opgepakt, dat iemand verantwoordelijk was, dat er een termijn stond en dat het is afgerond.
Een organisatie die problemen registreert en oplost, is aantoonbaar volwassener dan een die nooit iets registreert.
De drie meest voorkomende oorzaken van een afwijking
In de praktijk is het bijna altijd een van deze drie.
Beleid dat niet overeenkomt met de werkelijkheid. Geschreven voor de auditor in plaats van voor de organisatie. Herkenbaar aan formuleringen die niemand intern gebruikt.
Geen bewijs van uitvoering. De maatregel bestaat, de registratie niet. Dit is veruit de meest voorkomende.
Een directie die er niet in zit. Zonder aantoonbare betrokkenheid van de leiding ontbreekt het fundament onder het hele managementsysteem.
Checklist: je auditvoorbereiding in zeven regels
Loop deze punten langs voordat de auditor komt.
- Is mijn scope in één alinea uit te leggen en is de grens onderbouwd?
- Klopt mijn verklaring van toepasselijkheid met wat we werkelijk doen?
- Heeft mijn risicobeoordeling in het afgelopen jaar tot een besluit geleid?
- Is er een verslag van een directiebeoordeling met besluiten erin?
- Heeft mijn interne audit iets gevonden en is dat opgevolgd?
- Kan ik bij elke maatregel in mijn beleid het bewijs van uitvoering tonen?
- Is elke geregistreerde afwijking afgerond, met naam en datum?
Staat er bij vraag 6 een nee, begin daar. Dat is statistisch de meest waarschijnlijke afwijking.
Veelgestelde vragen
Hoe lang duurt een ISO 27001-audit? De duur volgt uit internationale richtlijnen die het aantal auditdagen koppelen aan het aantal medewerkers binnen de scope. Dat betekent dat offertes tussen certificerende instellingen minder ver uiteenlopen dan je zou verwachten, en dat een kleinere scope direct auditdagen scheelt.
Wat is het verschil tussen een interne audit en een certificeringsaudit? De interne audit voer je zelf uit, of laat je door een onafhankelijke partij uitvoeren, om te toetsen of je systeem werkt. De certificeringsaudit wordt uitgevoerd door een geaccrediteerde certificerende instelling en leidt tot het certificaat. De interne audit is een verplicht onderdeel van de norm en is dus zelf ook onderwerp van de certificeringsaudit.
Wat gebeurt er bij een afwijking? Dat hangt af van de zwaarte. Een lichte afwijking los je op met een corrigerende maatregel binnen een afgesproken termijn. Een zware afwijking moet zijn opgelost voordat het certificaat wordt verstrekt.
Hoe vaak vindt een audit plaats? Na de initiële certificering volgt jaarlijks een controle-audit. Na drie jaar volgt een hercertificering.