Wat wordt er gecontroleerd tijdens de ISO 27001-audit?

Tijdens een ISO 27001-audit controleert een onafhankelijke certificerende instelling of jouw managementsysteem voor informatiebeveiliging voldoet aan de eisen van de norm. De auditor beoordeelt niet alleen de documentatie, maar ook of de beveiligingsmaatregelen daadwerkelijk worden toegepast in de dagelijkse praktijk. Dit artikel beantwoordt de meest gestelde vragen over wat je kunt verwachten tijdens een ISO 27001-controle.

Welke onderdelen van je managementsysteem worden beoordeeld?

Tijdens een ISO 27001-audit beoordeelt de auditor het volledige Information Security Management System (ISMS). Dat omvat de beleidsstructuur, risicobeoordeling, beveiligingsdoelstellingen, interne audits, directiebeoordeling en de beheersmaatregelen uit Annex A. Zowel de opzet als de werking en de effectiviteit van het systeem worden getoetst.

Concreet kijkt de auditor naar de volgende onderdelen:

• Context van de organisatie: Zijn de interne en externe factoren die van invloed zijn op informatiebeveiliging in kaart gebracht? Is de scope van het ISMS helder afgebakend?
• Leiderschap en betrokkenheid: Draagt het management actief bij aan informatiebeveiliging? Is er een informatiebeveiligingsbeleid vastgesteld en gecommuniceerd?
• Risicobeheer: Is er een methodische risicoanalyse uitgevoerd? Zijn risico’s beoordeeld op impact en kans, en zijn passende beheersmaatregelen getroffen?
• Beheersmaatregelen (Annex A): Zijn de geselecteerde maatregelen gedocumenteerd in de Verklaring van Toepasselijkheid (SoA) en worden ze daadwerkelijk uitgevoerd?
• Interne audit en directiebeoordeling: Worden deze cyclisch uitgevoerd en leiden ze tot aantoonbare verbeteringen?
• Continue verbetering: Worden afwijkingen geregistreerd en worden corrigerende maatregelen opgevolgd?

De auditor toetst niet alleen of documenten aanwezig zijn, maar voert ook gesprekken met medewerkers en managers om te verifiëren dat het systeem in de praktijk werkt zoals het op papier beschreven staat.

Hoe verloopt een ISO 27001-audit in de praktijk?

Een externe ISO 27001-audit verloopt in twee fasen: een documentatiebeoordeling (stage 1) gevolgd door een implementatiebeoordeling (stage 2). Voorafgaand aan de externe audit is een interne audit verplicht. De auditor plant gesprekken met relevante medewerkers, bekijkt bewijsmateriaal en rapporteert bevindingen in een auditrapport.

In de praktijk begint het traject met een interne audit die je organisatie zelf organiseert of laat uitvoeren. Deze audit dient als voorbereiding en brengt eventuele tekortkomingen aan het licht voordat een externe partij langskomt. Vervolgens plant de certificerende instelling de externe audit, die doorgaans uit twee bezoeken bestaat.

Tijdens de audit zelf werkt de auditor met een steekproef: niet elk document of elke maatregel wordt uitputtend gecontroleerd, maar er wordt wel gericht gezocht naar bewijs dat het systeem systematisch functioneert. Medewerkers worden bevraagd over hun kennis van het beleid en hun dagelijkse werkwijze. Dit maakt voorbereiding van het personeel een belangrijk onderdeel van het auditproces.

Wat is het verschil tussen een stage 1- en stage 2-audit?

De stage 1-audit is een documentatiebeoordeling waarbij de auditor controleert of het ISMS voldoende is uitgewerkt en of de organisatie gereed is voor de volledige beoordeling. De stage 2-audit is de feitelijke implementatiebeoordeling, waarbij de auditor ter plaatse verifieert of het systeem in de praktijk werkt en effectief is.

Stage 1: gereedheidscheck

Tijdens de stage 1-audit bekijkt de auditor de kerndocumentatie: het informatiebeveiligingsbeleid, de risicoanalyse, de Verklaring van Toepasselijkheid, interne auditverslagen en de directiebeoordeling. Het doel is vast te stellen of de organisatie voldoende volwassen is om de stage 2-audit in te gaan. Eventuele hiaten worden benoemd zodat de organisatie deze kan adresseren.

Stage 2: de echte toets

De stage 2-audit gaat dieper. De auditor spreekt met medewerkers op verschillende niveaus, inspecteert fysieke locaties indien relevant, en controleert of de beheersmaatregelen daadwerkelijk worden toegepast. Bevindingen worden geclassificeerd als observaties, aanbevelingen of tekortkomingen. Alleen wanneer er geen onopgeloste majeure tekortkomingen zijn, wordt het certificaat verleend.

Wat zijn veelvoorkomende tekortkomingen tijdens een ISO 27001-audit?

De meest voorkomende tekortkomingen tijdens een informatiebeveiligingsaudit zijn onvolledige risicoanalyses, ontbrekend bewijs van interne audits, een Verklaring van Toepasselijkheid die niet aansluit op de praktijk, en onvoldoende betrokkenheid van het management. Ook ontbreekt het regelmatig aan aantoonbare opvolging van corrigerende maatregelen.

Meer specifiek zien auditors de volgende terugkerende knelpunten:

• Risicoanalyse niet actueel: De risicoanalyse is eenmalig uitgevoerd maar niet periodiek herzien na organisatiewijzigingen of nieuwe dreigingen.
• SoA niet volledig onderbouwd: Maatregelen zijn wel geselecteerd, maar de motivatie voor uitsluiting van bepaalde Annex A-maatregelen ontbreekt.
• Interne audits niet aantoonbaar: Er zijn geen verslagen, bevindingen of opvolgingsacties gedocumenteerd.
• Medewerkers niet op de hoogte: Personeel kent het informatiebeveiligingsbeleid niet of weet niet welke maatregelen voor hen gelden.
• Directiebeoordeling onvolledig: De beoordeling is wel gehouden maar dekt niet alle verplichte agendapunten uit de norm.
• Incidentregistratie ontbreekt: Beveiligingsincidenten worden niet systematisch geregistreerd en geanalyseerd.

Het goede nieuws is dat de meeste van deze tekortkomingen goed te voorkomen zijn met een gedegen voorbereiding en een realistische interne audit voorafgaand aan de externe beoordeling.

Hoe vaak wordt een ISO 27001-certificering gecontroleerd?

Een ISO 27001-certificaat heeft een geldigheidsduur van drie jaar. In die periode vinden jaarlijkse tussentijdse audits (surveillance-audits) plaats in jaar één en jaar twee. Na drie jaar volgt een hercertificeringsaudit waarbij het volledige ISMS opnieuw wordt beoordeeld.

De surveillance-audits zijn beperkter in scope dan de initiële certificering, maar mogen niet worden onderschat. De auditor controleert of het systeem nog steeds functioneert, of er verbeteringen zijn doorgevoerd en of eventuele eerdere bevindingen zijn opgelost. Organisaties die hun ISMS alleen activeren vlak voor een audit lopen een groot risico op tekortkomingen bij deze tussentijdse controles.

Het is dan ook verstandig om informatiebeveiliging als een doorlopend proces te behandelen, niet als een eenmalig project. Periodieke interne audits, actuele risicoanalyses en regelmatige directiebeoordelingen zijn geen luxe, maar een noodzaak om de ISO 27001-certificering duurzaam te behouden.

Hoe Kwinzo helpt bij de voorbereiding op een ISO 27001-audit

Wij begeleiden organisaties door het volledige ISO 27001-traject, van de eerste nulmeting tot de externe certificeringsaudit en het doorlopende beheer daarna. Onze aanpak is gericht op een systeem dat écht werkt in de praktijk, niet alleen op papier.

Wat wij concreet voor je doen:

• Uitvoeren van een nulmeting om te bepalen waar je organisatie nu staat ten opzichte van de ISO 27001-eisen
• Begeleiden van de implementatie van het ISMS, afgestemd op jouw bedrijfsvoering
• Uitvoeren van een interne audit als generale repetitie voor de externe certificeringsaudit
• Ondersteuning bij het opstellen van de risicoanalyse en Verklaring van Toepasselijkheid
• Maandelijkse workshops voor Security Officers om kennis actueel te houden
• Toegang tot onze eigen ISMS-tool voor efficiënt beheer van het managementsysteem
• Doorlopende ondersteuning bij surveillance-audits en hercertificering

Wil je weten hoe goed jouw organisatie er nu voor staat en wat er nodig is om de ISO 27001-audit succesvol te doorlopen? Neem contact met ons op voor een vrijblijvend adviesgesprek.