Waar organisaties écht op worden beoordeeld tijdens een audit
Veel organisaties beginnen een ISO 27001-traject met dezelfde verwachting: als het beleid, de procedures en de risicoanalyse op orde zijn, zal de audit goed verlopen.
En meestal lijkt dat ook zo. Documentatie is aanwezig, het ISMS is ingericht en medewerkers zijn geïnformeerd.
Toch ontstaan auditbevindingen vaak pas wanneer de auditor verder kijkt dan het managementsysteem.
Want een ISO 27001-audit beoordeelt niet alleen of beveiliging is beschreven, maar of beveiliging aantoonbaar werkt in de praktijk.
ISO 27001 is daarmee geen documentatie-audit, maar een bewijs-audit.
ISO 27001 is een managementsysteemnorm. De norm vraagt niet om specifieke technische maatregelen, maar om beheersing van risico's rondom informatie.
Dat betekent dat een organisatie moet kunnen aantonen:
Veel organisaties richten zich vooral op de eerste twee. Auditors richten zich juist op de laatste twee.
Daar ontstaat het verschil tussen voorbereiding en auditrealiteit.
Een auditor probeert in korte tijd antwoord te krijgen op één vraag:
"Is informatiebeveiliging hier een georganiseerd proces, of afhankelijk van individuele kennis en goede bedoelingen?"
Daarvoor kijkt hij niet alleen naar beleid, maar vooral naar uitvoering.
Een audit verloopt daarom meestal in drie stappen:
De bevindingen ontstaan vrijwel altijd in stap drie.
ISO 27001 bevat een lijst beveiligingsmaatregelen (Annex A). Veel daarvan zijn technisch van aard:
Op papier zijn deze vaak geregeld. In de praktijk blijken ze regelmatig niet aantoonbaar.
Daarom mislukken audits zelden op beleid, maar vaak op uitvoering.
Lees ook: Waarom ISO 27001-audits vaak mislukken op technische maatregelen
Auditors zoeken het snelste bewijs van beheersing. Dat vinden ze meestal in systemen die veel informatie bevatten.
Daarom starten audits vaak bij:
Voor veel MKB-organisaties is dit feitelijk de volledige IT-omgeving.
Zie ook: Wat auditors echt controleren in Microsoft 365
Een belangrijk misverstand is dat maatregelen aanwezig moeten zijn. In werkelijkheid moeten ze bewijsbaar worden uitgevoerd.
Een auditor stelt daarom andere vragen dan verwacht.
Niet: "Heeft u logging?"
Maar: "Wie controleert de logs en wat gebeurt er bij afwijkingen?"
Niet: "Maakt u back-ups?"
Maar: "Wanneer heeft u voor het laatst een volledig herstel uitgevoerd?"
Niet: "Hebt u toegangsbeheer?"
Maar: "Wie heeft goedgekeurd dat deze medewerker toegang heeft?"
ISO 27001 draait dus minder om inrichting en meer om controle.
In de praktijk concentreren bevindingen zich bijna altijd rond dezelfde operationele processen.
Organisaties hebben meestal back-ups, maar kunnen niet aantonen dat herstel werkt onder druk.
Zie: Back-ups voor ISO 27001: wat auditors echt willen zien
Automatische updates bestaan, maar er is geen overzicht, prioritering of controle.
Zie: Patchmanagement en updates: waarom automatische updates niet voldoen aan ISO 27001
Accounts bestaan, maar rechten zijn historisch gegroeid en niet periodiek gecontroleerd.
Zie: Toegangsbeheer (IAM) voor ISO 27001
Er zijn contracten en certificaten, maar geen aantoonbare beoordeling van risico's.
Zie: Leveranciers en SaaS bij ISO 27001
Beveiliging is aanwezig, maar beperkt incidentimpact niet aantoonbaar.
Zie: Netwerksegmentatie en technische maatregelen
Logging is actief, maar niemand controleert structureel de gebeurtenissen.
Zie: Logging en monitoring aantoonbaar maken voor ISO 27001
ISO 27001 komt oorspronkelijk uit grotere organisaties. Daar bestaan vaak aparte rollen voor:
In het MKB zijn deze rollen meestal gecombineerd. Daardoor ontstaat een logisch patroon:
De IT werkt technisch goed, maar controle en vastlegging ontbreken.
De audit beoordeelt echter niet alleen of systemen functioneren, maar of beveiliging herhaalbaar en onafhankelijk controleerbaar is.
Zie ook: De 10 meest voorkomende ISO 27001-bevindingen bij MKB
Een auditor beoordeelt uiteindelijk drie dingen:
Weet de organisatie welke informatie belangrijk is?
Worden maatregelen consequent uitgevoerd?
Kan dit onafhankelijk worden vastgesteld?
Wanneer één van deze ontbreekt, ontstaat een bevinding — zelfs als de techniek goed werkt.
ISO 27001 vereist geen perfecte beveiliging.
Het vereist dat beveiliging bewust, controleerbaar en herhaalbaar is ingericht.
Organisaties die vooral techniek implementeren maar weinig controleren, ervaren audits als zwaar. Organisaties die kunnen aantonen dat processen werken, ervaren audits meestal als bevestiging.
De audit controleert dus niet hoe goed uw IT is ingericht, maar hoe goed uw organisatie kan laten zien dat zij grip heeft op informatiebeveiliging.
En precies dat is de kern van ISO 27001.
Met onze Audit-klaar Analyse krijgt u een helder beeld van uw huidige situatie en welke stappen nodig zijn om audit-gereed te worden.