Een ISO 27001 audit is een onafhankelijke toetsing of je informatiebeveiligingsmanagementsysteem voldoet aan de eisen van de norm. De certificeringsaudit verloopt in twee fases: fase 1 is een documentbeoordeling, fase 2 is de inhoudelijke toets waarin wordt gecontroleerd of het systeem in de praktijk werkt. Daarnaast is een eigen interne audit verplicht voordat de certificerende instelling langskomt. Na certificering volgen jaarlijkse controle-audits en na drie jaar een hercertificering.
Zo staat het in de norm. Maar er bestaat een hardnekkig misverstand over wat een auditor werkelijk komt toetsen.
Wat een ISO 27001 audit werkelijk toetst
Veel organisaties denken dat een auditor komt kijken of hun beveiliging goed is.
Dat doet hij niet.
Hij komt kijken of je een systeem hebt dat bepaalt wat goed genoeg is voor jouw organisatie, of je dat systeem daadwerkelijk uitvoert en of je dat kunt aantonen.
Dat verschil verklaart waarom technisch sterke bedrijven soms afwijkingen krijgen en administratief nette bedrijven verrassend soepel doorkomen. In dit domein telt wat je kunt aantonen, niet wat je hebt gedaan.
De drie soorten ISO 27001 audits
Voordat we de zeven punten doorlopen: er zijn drie momenten waarop je getoetst wordt, en ze hebben elk een ander doel.
Interne audit
De interne audit voer je zelf uit, of laat je uitvoeren door een onafhankelijke partij. Het doel is te controleren of je managementsysteem werkt voordat een externe auditor dat doet. De norm verplicht dit: clausule 9.2 schrijft een intern auditprogramma voor, uitgevoerd door iemand die niet zijn eigen werk beoordeelt.
De interne audit is zelf ook onderwerp van de certificeringsaudit. Een externe auditor kijkt niet alleen of je er een hebt gedaan, maar ook wat eruit kwam en wat je ermee deed.
Praktisch: plan de interne audit minimaal drie maanden voor fase 2. Dan is er tijd om gevonden afwijkingen op te lossen en dat ook aan te tonen.
Fase 1: documentbeoordeling
Fase 1 is een beoordeling op papier. De auditor controleert of je managementsysteem compleet is: is de scope vastgelegd, is er een verklaring van toepasselijkheid, is de risicobeoordeling uitgevoerd, zijn de verplichte documenten aanwezig.
Bevindingen in fase 1 zijn zelden fataal. Ze zijn een waarschuwing. Je krijgt de gelegenheid om te herstellen voordat fase 2 plaatsvindt.
Tussen fase 1 en fase 2 zit doorgaans vier tot acht weken.
Fase 2: de inhoudelijke audit
Fase 2 is waar het gebeurt. De auditor komt op locatie of sluit remote aan, spreekt medewerkers, vraagt om bewijsstukken en toetst met steekproeven of het systeem in de praktijk werkt zoals het op papier staat.
Hier ontstaan afwijkingen. Niet omdat de documentatie ontbreekt, maar omdat de uitvoering niet aantoonbaar is.
Na fase 2 volgt bij een positief resultaat het certificaat. Daarna jaarlijks een controle-audit en na drie jaar een volledige hercertificering. Een certificaat is geen eindpunt maar een toestand die je onderhoudt.
De 7 punten die een auditor altijd controleert
1. Je scope en of die te verdedigen is
De eerste vraag is altijd wat er wel en niet binnen de certificering valt. De vervolgvraag is belangrijker: waarom.
Je mag afbakenen. Je mag onderdelen buiten sluiten. Wat je niet mag is een grens trekken die niet te onderbouwen valt, bijvoorbeeld wanneer een uitgesloten systeem wel degelijk gegevens raakt die binnen de scope vallen.
Waar het misgaat: een scope die is gekozen op basis van wat makkelijk was in plaats van wat logisch is. Zorg dat je scope in één alinea uit te leggen is en dat de grens ergens op gebaseerd is.
2. De verklaring van toepasselijkheid
Dit is het belangrijkste document in het hele traject en tegelijk het meest onderschatte. Daarin staat welke beheersmaatregelen uit de norm op jou van toepassing zijn en bij elke maatregel die je niet toepast een onderbouwing waarom niet.
Waar het misgaat: een sjabloon overnemen en alles aanvinken. Dat valt onmiddellijk op, want dan verklaar je maatregelen van toepassing die je aantoonbaar niet uitvoert. Een korte lijst met eerlijke uitsluitingen is sterker dan een volledige lijst die je niet waarmaakt.
Lees hoe je de verklaring van toepasselijkheid correct opstelt.
3. Je risicobeoordeling
Twee vragen komen hier altijd. Welke methode gebruik je en heb je die methode ook echt toegepast.
Een auditor herkent binnen een minuut het verschil tussen een risicobeoordeling die één keer is ingevuld en daarna in een map verdween en een die leeft. Het verschil zit in de datums, in de wijzigingen en in de vraag of er ooit iets uit voortgekomen is.
Waar het misgaat: een risicobeoordeling die nooit tot een beslissing heeft geleid. Dat is geen beoordeling maar een document.
4. De directiebeoordeling
Hier wordt getoetst of de leiding daadwerkelijk gekeken heeft. Niet of ze het goedgekeurd hebben, maar of ze het bekeken hebben, met welke informatie en welke besluiten daaruit volgden.
Waar het misgaat: een directie die het traject volledig heeft gedelegeerd. Merkt een auditor dat, dan gaat hij dieper zoeken. Dit is opvallend goedkoop om goed te doen: een vast agendapunt, één keer per jaar, met een verslag waarin staat wat er besproken is en wat er is besloten.
5. Je interne audit
Je moet jezelf hebben getoetst voordat een ander dat doet.
En hier het contra-intuïtieve deel: een interne audit die niets heeft gevonden, is een probleem. Dat leest een auditor niet als kwaliteit maar als een audit die niet serieus is uitgevoerd. Elke organisatie heeft afwijkingen. Vind ze zelf, dat is precies wat je wilt laten zien.
6. Bewijs dat je het ook echt doet
Dit is waar het scheidt. Beleid is een belofte, bewijs is de uitvoering.
Zegt je beleid dat toegangsrechten elk kwartaal worden herzien, dan wil een auditor de vier herzieningen van dit jaar zien, met datum en met wie het deed.
Fictief markt-scenario ter illustratie. Volledig verzonnen, didactisch, niet gebaseerd op een bestaande organisatie.
Een MSP heeft alles technisch op orde. Endpointbescherming, logging, back-ups, meervoudige authenticatie, allemaal actief. Het beleid is netjes geschreven.
Bij de audit vraagt de auditor om het bewijs van de kwartaalcontrole op toegangsrechten. Die controle is nooit vastgelegd. Waarschijnlijk is hij informeel wel uitgevoerd, maar er is niets van terug te vinden.
Resultaat: een afwijking. Niet omdat de beveiliging tekortschoot, maar omdat er geen bewijs is dat ze werkte.
Waar je dat bewijs vastlegt maakt voor de norm niet uit. Of je daarvoor ISMS software of Excel gebruikt is een praktische keuze, geen normvereiste.
7. Afwijkingen en wat je ermee deed
Tot slot kijkt een auditor naar wat eerder misging: meldingen, incidenten, bevindingen uit je eigen interne audit.
Wat hij wil zien is niet dat er niets misging. Hij wil zien dat er iets is opgepakt, dat iemand verantwoordelijk was, dat er een termijn stond en dat het is afgerond.
Een organisatie die problemen registreert en oplost, is aantoonbaar volwassener dan een die nooit iets registreert.
De drie meest voorkomende oorzaken van een afwijking
In de praktijk is het bijna altijd een van deze drie.
Beleid dat niet overeenkomt met de werkelijkheid. Geschreven voor de auditor in plaats van voor de organisatie. Herkenbaar aan formuleringen die niemand intern gebruikt.
Geen bewijs van uitvoering. De maatregel bestaat, de registratie niet. Dit is veruit de meest voorkomende.
Een directie die er niet in zit. Zonder aantoonbare betrokkenheid van de leiding ontbreekt het fundament onder het hele managementsysteem.
Hoe bereid je je voor op een ISO 27001 audit?
Een goede voorbereiding is grotendeels administratief werk dat je maanden eerder had kunnen doen.
Drie maanden voor fase 2 Voer de interne audit uit. Geef de auditor voldoende tijd en mandaat om echt te zoeken. Registreer wat eruit komt.
Twee maanden voor fase 2 Los de bevindingen uit de interne audit op en leg vast wat je hebt gedaan, wie het deed en wanneer het is afgerond.
Eén maand voor fase 2 Loop je verklaring van toepasselijkheid regel voor regel door en controleer bij elke maatregel die je van toepassing hebt verklaard of je het bewijs van uitvoering kunt tonen. Dit is de meest waardevolle uren die je in het hele traject besteedt.
De week ervoor Zorg dat de directiebeoordeling recent is en dat er een verslag ligt met besluiten. Bereid de mensen voor die de auditor gaat spreken: ze hoeven de norm niet te kennen, ze moeten kunnen uitleggen wat ze doen.
Een volledig overzicht van alle normvereisten vind je in onze ISO 27001 checklist met alle 93 Annex A controls.
Checklist: je auditvoorbereiding in zeven regels
Loop deze punten langs voordat de auditor komt.
- Is mijn scope in één alinea uit te leggen en is de grens onderbouwd?
- Klopt mijn verklaring van toepasselijkheid met wat we werkelijk doen?
- Heeft mijn risicobeoordeling in het afgelopen jaar tot een besluit geleid?
- Is er een verslag van een directiebeoordeling met besluiten erin?
- Heeft mijn interne audit iets gevonden en is dat opgevolgd?
- Kan ik bij elke maatregel in mijn beleid het bewijs van uitvoering tonen?
- Is elke geregistreerde afwijking afgerond, met naam en datum?
Staat er bij vraag 6 een nee, begin daar. Dat is statistisch de meest waarschijnlijke afwijking.
Veelgestelde vragen over de ISO 27001 audit
Hoe verloopt een ISO 27001 audit? Een certificeringstraject bestaat uit drie toetsmomenten: je eigen interne audit, fase 1 (documentbeoordeling door de certificerende instelling) en fase 2 (de inhoudelijke audit waarin met steekproeven wordt getoetst of het systeem werkt). Bij een positief resultaat volgt het certificaat, daarna jaarlijks een controle-audit en na drie jaar een hercertificering.
Wat is het verschil tussen fase 1 en fase 2? Fase 1 is een beoordeling op papier: is je managementsysteem compleet en ben je klaar voor de inhoudelijke toets. Fase 2 toetst of het systeem in de praktijk werkt en of je dat kunt aantonen. Afwijkingen ontstaan vrijwel altijd in fase 2. Tussen beide fases zit doorgaans vier tot acht weken.
Wat is het verschil tussen een interne audit en een certificeringsaudit? De interne audit voer je zelf uit, of laat je door een onafhankelijke partij uitvoeren, om te toetsen of je systeem werkt. De certificeringsaudit wordt uitgevoerd door een geaccrediteerde certificerende instelling en leidt tot het certificaat. De interne audit is een verplicht onderdeel van de norm en is dus zelf ook onderwerp van de certificeringsaudit.
Is een interne audit verplicht voor ISO 27001? Ja. Clausule 9.2 van de norm verplicht een intern auditprogramma. De audit moet worden uitgevoerd door iemand die niet zijn eigen werk beoordeelt, en de resultaten moeten gedocumenteerd en opgevolgd worden.
Hoe lang duurt een ISO 27001 audit? De duur volgt uit internationale richtlijnen die het aantal auditdagen koppelen aan het aantal medewerkers binnen de scope. Dat betekent dat offertes tussen certificerende instellingen minder ver uiteenlopen dan je zou verwachten, en dat een kleinere scope direct auditdagen scheelt.
Wat kost een ISO 27001 audit? De auditkosten zijn maar een deel van de totale investering. Reken voor de certificeringsaudit zelf op enkele duizenden euro’s, afhankelijk van scope en organisatiegrootte. De implementatiekosten liggen aanzienlijk hoger. Een volledige begroting vind je in ons artikel over de kosten van ISO 27001 certificering.
Wat gebeurt er bij een afwijking? Dat hangt af van de zwaarte. Een lichte afwijking los je op met een corrigerende maatregel binnen een afgesproken termijn. Een zware afwijking moet zijn opgelost voordat het certificaat wordt verstrekt.
Hoe vaak vindt een audit plaats? Na de initiële certificering volgt jaarlijks een controle-audit. Na drie jaar volgt een hercertificering.
Wat vraagt een auditor als eerste? Vrijwel altijd je scope en de onderbouwing daarvan, gevolgd door de verklaring van toepasselijkheid. Die twee documenten bepalen de rest van de audit: ze vertellen de auditor waar hij moet kijken en waarop hij je mag afrekenen.