10 типових невідповідностей на аудиті ISO 27001

Кожен аудитор має свій «топ» зауважень, які повторюються з компанії в компанію. Ось невідповідності, які я найчастіше фіксую на аудитах ISO 27001, — перевірте себе за цим списком до приходу зовнішнього аудитора.

Документація та ризики

Оцінка ризиків відірвана від реальності. Реєстр ризиків скопійований із шаблону і не містить специфіки компанії: хмарних сервісів, підрядників, реальних інцидентів.
SoA не відповідає впровадженому. У Statement of Applicability захід позначений як впроваджений, а на практиці його немає — це пряма дорога до суттєвої невідповідності.
Політики ніхто не читав. Документи існують, але співробітники на інтервю не можуть пояснити базові правила.

Операційні процеси

Управління доступами. Облікові записи звільнених працівників активні, права не переглядаються, адмін-доступи не обмежені.
Інциденти не реєструються. «У нас не було інцидентів» за рік — для аудитора це означає, що процес не працює, а не що все ідеально.
Резервні копії не тестуються. Бекапи робляться, але відновлення ніхто не перевіряв.
Зміни без слідів. Немає записів про те, хто, коли і чому вносив зміни в критичні системи.

Люди та постачальники

Навчання разове. Тренінг з безпеки провели один раз при впровадженні — стандарт очікує регулярності.
Постачальники поза контролем. Немає оцінки критичних підрядників і вимог безпеки в договорах.
Внутрішній аудит формальний. Проведений нашвидкуруч без реальних доказів — див. мій чек-лист внутрішнього аудиту.

Що робити з цим списком

Пройдіться по кожному пункту за місяць до аудиту — цього часу достатньо, щоб закрити більшість прогалин. Якщо ви ще на етапі підготовки, почніть із покрокового плану сертифікації ISO 27001.

Читайте також

Автор — Кирило Проскурня (Kyrylo Proskurnya), провідний аудитор ISO та міжнародний експерт із систем менеджменту. Проводжу сертифікаційні та внутрішні аудити ISO 27001, ISO 9001, ISO 27701, ISO 42001 для компаній України, Європи та США. Про мене · Замовити консультацію