Kaj je notranja presoja ISO 27001 in kaj mora preveriti?

Kaj standard zahteva

Standard ISO/IEC 27001 v točki 9.2 določa, da mora organizacija v načrtovanih časovnih presledkih izvajati notranje presoje. Namen je ugotoviti, ali sistem upravljanja informacijske varnosti ustreza lastnim zahtevam organizacije in zahtevam standarda ter ali se učinkovito izvaja in vzdržuje.

Poleg tega standard zahteva, da organizacija:

• načrtuje, vzpostavi, izvaja in vzdržuje program presoj, ki vključuje pogostost, metode, odgovornosti, zahteve glede načrtovanja in poročanje;
• za vsako presojo opredeli merila in obseg;
• izbere presojevalce in izvaja presoje tako, da sta zagotovljeni objektivnost in nepristranskost presojevalnega procesa;
• rezultate presoje sporoči ustreznemu vodstvu;
• hrani dokumentirane informacije kot dokaz o programu presoj in o rezultatih.

Notranja presoja je torej del sistema, ne enkratni projekt. Njeni rezultati so vhod za vodstveni pregled (točka 9.3) in za obravnavo neskladnosti ter izboljšav (točka 10).

Kaj notranja presoja preverja

Presoja ne preverja samo dokumentov. Preverja tri stvari: ali so zahteve zapisane, ali se po njih dela in ali delo daje pričakovane rezultate.

Zahteve sistema upravljanja

Presojevalec preveri zahteve iz točk 4 do 10 standarda: kontekst organizacije in obseg sistema, vodenje in politiko, ocenjevanje in obravnavo tveganj, podporo, delovanje, vrednotenje uspešnosti in izboljševanje. Posebej pozoren je na izjavo o uporabnosti, načrt obravnave tveganj in dokaze o vodstvenem pregledu.

Kontrole iz Priloge A

Izdaja ISO/IEC 27001:2022 v Prilogi A navaja 93 kontrol v štirih sklopih: organizacijske, ljudje, fizične in tehnološke. Presoja ne preverja nujno vseh kontrol enako podrobno. Obseg se prilagodi izjavi o uporabnosti, tveganjem in rezultatom prejšnjih presoj. Pri izbranih kontrolah presojevalec poišče dokaze, da so uvedene in da delujejo.

Dokazi o delovanju

Dokaz je lahko zapis, dnevnik, poročilo, intervju ali opazovanje dela. Politika o varnostnih kopijah sama ni dokaz. Dokaz je šele zapis, da so bile kopije narejene in da je bila obnova preizkušena.

Kako poteka presoja

Potek se razlikuje glede na velikost organizacije, v praksi pa ima večina presoj podobne korake:

1. Program in načrt. Določita se obseg, merila, termini in presojevalec.
2. Pregled dokumentacije. Presojevalec preveri, ali so zahtevani dokumenti na voljo in ali ustrezajo standardu.
3. Izvedba na kraju samem ali na daljavo. Intervjuji, pregled zapisov in opazovanje procesov.
4. Ugotovitve. Neskladnosti, priložnosti za izboljšave in dobre prakse, vsaka z opisom dokaza.
5. Poročilo. Povzetek obsega, ugotovitev in zaključkov, namenjen vodstvu.
6. Spremljanje ukrepov. Korektivni ukrepi, odgovorne osebe in roki.

Metodološko se presoje običajno opirajo na smernice ISO 19011 (veljavna izdaja). Te niso zahteva standarda ISO/IEC 27001, so pa splošno uveljavljen okvir za načrtovanje in izvedbo presoj sistemov vodenja.

Kdo lahko izvaja notranjo presojo

Standard ne predpisuje, da mora presojo izvesti zunanja oseba. Zahteva objektivnost in nepristranskost. V praksi to pomeni, da presojevalec ne presoja področja, za katero je sam odgovoren, in ni avtor dokumentacije, ki jo presoja.

V manjših organizacijah je to pogosto težko izpolniti, ker isti ljudje sistem uvedejo in vzdržujejo. Takrat je smiselna zunanja notranja presoja. Pomembno je tudi, da svetovalec, ki je pripravil sistem, istega sistema ne presoja. Priprava in presoja za isto stranko naj bosta razdeljeni.

Pogoste napake

• Presoja je izvedena tik pred certifikacijsko presojo in ne ostane čas za odpravo ugotovitev.
• Poročilo našteva samo ugotovitve, ne pa obsega in zaključkov.
• Korektivni ukrepi nimajo odgovorne osebe ali roka.
• Presojevalec presoja dokumente, ki jih je sam napisal.
• Program presoj pokriva samo del sistema in nikoli ne pride do določenih kontrol.

Kaj sledi po presoji

Poročilo gre vodstvu. Vsaka neskladnost dobi analizo vzroka, korektivni ukrep, odgovorno osebo in rok. Po izvedbi se učinkovitost ukrepa preveri. Rezultati so vhodni podatek za vodstveni pregled, ki ga zahteva točka 9.3.

Naslednji korak

Če želite vedeti, kakšen je približen položaj vašega sistema, začnite z brezplačno samooceno. Za neodvisno presojo si oglejte notranje presoje ISO 27001, za pripravo na certifikacijo pa pripravo na ISO 27001. Če imate konkretno vprašanje, nam pošljite povpraševanje. Ponudbe pripravljamo individualno.