Notranja presoja ISO 27001 je načrtovano, dokumentirano preverjanje, ali sistem upravljanja informacijske varnosti izpolnjuje zahteve standarda in lastna pravila organizacije. Zahteva jo točka 9.2. Opravi jo nepristranski presojevalec, rezultat pa so ugotovitve, ki jih obravnava vodstvo.
Kaj presoja preverja
Presoja odgovarja na tri vprašanja. Ali sistem izpolnjuje zahteve standarda ISO/IEC 27001? Ali izpolnjuje lastne dokumentirane zahteve organizacije, na primer politike in postopke? Ali je dejansko uveden in vzdrževan? Zadnje vprašanje je najpomembnejše: dokument v mapi še ne pomeni, da se po njem dela.
Potek presoje po korakih
- Letni program presoj. Določi, katera področja in lokacije se presojajo, kdaj in kdo presoja. Pri načrtovanju upoštevajte pomembnost procesov in rezultate prejšnjih presoj.
- Presojevalni načrt. Za posamezno presojo določite cilje, obseg, merila (točke standarda, interna pravila), termin in intervjuvance.
- Pregled dokumentacije. Presojevalec preveri obseg sistema, izjavo o uporabnosti, oceno tveganj in načrt obravnave tveganj.
- Presoja na kraju samem ali na daljavo. Intervjuji, opazovanje dela in vzorčenje zapisov: dnevniki dostopov, prijave incidentov, izobraževanja, varnostne kopije.
- Ugotovitve. Vsaka ugotovitev ima merilo, dokaz in razvrstitev (neskladnost, priložnost za izboljšavo, dobra praksa).
- Poročilo in korektivni ukrepi. Odgovorne osebe analizirajo vzroke in določijo ukrepe z roki. Presojevalec preveri, ali so ukrepi učinkoviti.
- Vodstveni pregled. Rezultati presoje so vhod v pregled vodstva (točka 9.3).
Kaj presojevalec običajno vzorči
| Področje | Primeri dokazov |
|---|---|
| Upravljanje tveganj | ocena tveganj, načrt obravnave, lastniki tveganj |
| Izjava o uporabnosti | utemeljitev vključenih in izključenih kontrol |
| Kadri | usposabljanje, izjave o zaupnosti, postopek ob odhodu |
| Dostopi | pregledi pravic, odvzem dostopov ob odhodu |
| Incidenti | evidenca incidentov, analiza vzrokov |
| Neprekinjenost | testi obnove varnostnih kopij |
| Dobavitelji | ocena, pogodbe, nadzor |
Pogoste napake
- Presojevalec presoja področje, ki ga vodi sam.
- Presoja se zgolj dokumentacija, brez intervjujev in vzorčenja zapisov.
- Ugotovitve nimajo dokaza ali merila, zato jih ni mogoče preveriti.
- Korektivni ukrepi odpravijo posledico, ne vzroka.
- Notranjo presojo opravijo tik pred zunanjo, ko ni več časa za popravke.
Notranja presoja in certifikacija
Notranja presoja ni certifikacija in ne zagotavlja njenega izida. Pomaga pa, da vrzeli odkrijete in odpravite pred zunanjo presojo. Presoj ne izvajamo, svetujemo pa pri pripravi nanje; glejte svetovalni pregled ISO 27001. Če še ne veste, kje ste, se ponavadi začne z GAP analizo.
Pogosta vprašanja
Ali je notranja presoja obvezna?
Da. Organizacija, ki želi izpolnjevati ISO/IEC 27001, mora v načrtovanih intervalih izvajati notranje presoje (točka 9.2). Brez zapisov o presoji certifikacijski organ ne bo mogel potrditi delovanja sistema.
Ali notranja presoja nadomesti certifikacijsko presojo?
Ne. Notranja presoja je del sistema upravljanja in jo naroči organizacija sama. Certifikat izda le akreditiran certifikacijski organ po svoji presoji.
Kdo lahko izvede notranjo presojo?
Presojevalec mora biti nepristranski in ne sme presojati lastnega dela. To je lahko usposobljen zaposleni iz druge enote ali zunanji svetovalec.
Viri
Članek je strokovni povzetek in ne nadomešča pravnega mnenja. Obveznosti so odvisne od položaja posamezne organizacije.