Notranja presoja ISO/IEC 27001
Nepristranska presoja ISMS, ki jo standard zahteva v točki 9.2, z ugotovitvami in poročilom za vodstvo.
Notranja presoja ISO/IEC 27001 je načrtovano in dokumentirano preverjanje, ali sistem upravljanja informacijske varnosti izpolnjuje zahteve standarda in lastna pravila organizacije ter ali se v praksi izvaja. Standard jo zahteva v točki 9.2, izvede pa jo nepristranska oseba.
Katero težavo rešujemo
Organizacija ima sistem in dokumentacijo, vendar nihče neodvisen ni preveril, ali se po njej tudi dela. Notranje presoje so včasih formalnost, ki jo opravi nekdo, ki presoja lastno področje, ali pa jih ni, zunanji presojevalec pa to najde prvi.
Zakaj je to pomembno
Standard zahteva notranje presoje v načrtovanih intervalih, njihove rezultate pa mora obravnavati vodstvo. Nepristranska presoja najde razkorak med zapisanim in dejanskim, preden ga najde certifikacijski organ, in daje vodstvu zanesljiv vhod za pregled sistema.
Za koga je
- Organizacije z vzpostavljenim ISMS, ki potrebujejo letno notranjo presojo po točki 9.2.
- Podjetja tik pred prvo certifikacijsko ali nadzorno presojo.
- Organizacije brez lastnega usposobljenega in nepristranskega presojevalca.
- Podjetja, ki so po zadnji zunanji presoji prejela neskladnosti in želijo preveriti odpravo.
Kaj obsega delo
- Presoja zahtev standarda (točke 4 do 10) glede na dogovorjeni obseg sistema.
- Presoja uvedbe kontrol iz izjave o uporabnosti, vzorčena po tveganjih.
- Pregled analize tveganj, načrta obravnave tveganj in izjave o uporabnosti.
- Intervjuji z odgovornimi osebami in pregled zapisov: dostopi, incidenti, dobavitelji, varnostne kopije, usposabljanja.
- Preverjanje korektivnih ukrepov iz prejšnjih presoj.
- Ugotovitve z merilom, dokazom in razvrstitvijo ter poročilo za vodstvo.
Potek dela
Uvodni pogovor: obseg, cilji, lokacije, termin in preverjanje neodvisnosti.
Presojevalni načrt z merili, vzorci in seznamom intervjuvancev.
Pregled dokumentacije in pripravljenosti sistema.
Presoja na kraju samem ali na daljavo: intervjuji, opazovanje, vzorčenje zapisov.
Končni sestanek z ustnim povzetkom ugotovitev.
Poročilo o presoji in preverjanje korektivnih ukrepov po dogovoru.
Notranja in certifikacijska presoja
| Vidik | Notranja presoja | Certifikacijska presoja |
|---|---|---|
| Naročnik | Organizacija sama | Organizacija, izvede jo certifikacijski organ |
| Namen | Preveriti delovanje sistema in odkriti vrzeli | Odločiti o izdaji ali ohranitvi certifikata |
| Izvajalec | Nepristranski notranji ali zunanji presojevalec | Akreditiran certifikacijski organ |
| Rezultat | Poročilo, ugotovitve, vhod za vodstvo | Odločitev o certifikatu |
| Zahteva standarda | Da, točka 9.2 | Ne, prostovoljna odločitev organizacije |
| Pogostost | V načrtovanih intervalih, običajno letno | Po ciklu certificiranja: nadzorne presoje in ponovna certifikacija |
Kaj potrebujemo od vas
- Obseg sistema, izjava o uporabnosti in zadnja analiza tveganj.
- Poročila prejšnjih notranjih in zunanjih presoj ter odprti korektivni ukrepi.
- Seznam lokacij, ključnih procesov in odgovornih oseb.
- Podatek, ali je kdo od zunanjih izvajalcev sodeloval pri vzpostavitvi sistema.
Kaj prejmete
- Presojevalni načrt in program presoje.
- Poročilo o presoji z ugotovitvami, dokazi in merili.
- Seznam neskladnosti in priložnosti za izboljšave z razvrstitvijo.
- Povzetek za vodstvo kot vhod v pregled vodstva (točka 9.3).
- Po dogovoru: preverjanje učinkovitosti korektivnih ukrepov.
Kaj ni vključeno in kje so meje
- Certifikacija ali izdaja certifikata.
- Garancija uspešne certifikacijske presoje.
- Tehnično testiranje ranljivosti ali penetracijski testi (glejte 4secnet.com).
- Vzpostavitev sistema in priprava dokumentacije, ki bi jo nato presojali isti ljudje.
Notranja presoja ni certifikacija. Certifikat izda samo akreditiran certifikacijski organ po svoji presoji, rezultat notranje presoje pa certificiranja ne zagotavlja. Presojamo le sisteme, pri vzpostavitvi katerih nismo sodelovali. Če smo organizaciji svetovali ali pripravljali dokumentacijo, presoje ne prevzamemo ali pa to jasno navedemo in presoje ne predstavimo kot neodvisne. Plačljivega besedila standarda ne povzemamo in ne ponatiskujemo. Za zahteve v celoti uporabite uradno izdajo standarda.
ISOskladnost.com. Če potrebujete svetovanje pri vzpostavitvi sistema, ga zagotavlja ISOskladnost.com. Svetovanje in presoja istega sistema se zaradi neodvisnosti ne združujeta.
Pogosta vprašanja
Ali je notranja presoja ISO 27001 obvezna?
Za organizacije, ki izpolnjujejo ISO/IEC 27001 ali se certificirajo, da. Standard zahteva notranje presoje v načrtovanih intervalih (točka 9.2). Standard sam ni zakonsko obvezen, lahko pa ga zahtevajo naročniki.
Kdo lahko izvede notranjo presojo?
Oseba, ki je nepristranska in ne presoja lastnega dela. To je lahko usposobljen zaposleni iz druge enote ali zunanji presojevalec. Pri zunanjem je treba preveriti, da ni sodeloval pri vzpostavitvi sistema.
Kaj organizacija prejme po presoji?
Poročilo z ugotovitvami, dokazi in razvrstitvijo ter povzetek za vodstvo. Točen obseg dokumentov dogovorimo vnaprej.
Ali notranja presoja zagotavlja certifikat?
Ne. Zmanjša tveganje presenečenj, certifikat pa izda samo certifikacijski organ po svoji presoji.
Viri
- ISO: ISO/IEC 27001 – informacijska varnost, kibernetska varnost in varstvo zasebnosti (odpre se v novem zavihku)
- ISO: ISO 19011 – smernice za presojanje sistemov vodenja (odpre se v novem zavihku)
- SIST – Slovenski inštitut za standardizacijo (odpre se v novem zavihku)
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Povezane strani
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.