Audyt ISO 27001 wewnętrzny i przed certyfikacją
Audyt ISO 27001 pokazuje, czy Twój system zarządzania bezpieczeństwem informacji spełnia wymagania normy ISO/IEC 27001:2022 i czy działa w codziennej pracy. Prowadzimy audyty zerowe, wewnętrzne, przed certyfikacją i u dostawców, zarówno dla firm z działającym SZBI, jak i dla tych, które dopiero go planują. Dostajesz raport, który wskazuje, czego brakuje do wymagań normy, na jakiej podstawie to stwierdziliśmy i co poprawić przed audytem jednostki certyfikującej.
- Niezgodności znalezione, zanim zobaczy je jednostka certyfikująca
- Raport z audytu wewnętrznego, którego wymaga pkt 9.2 normy
- Zabezpieczenia sprawdzone testem, a nie tylko na papierze
Twój kontakt:Bartosz MachnikAktualizacja:
Czym jest audyt ISO 27001
Audyt ISO 27001 (ang. ISO 27001 audit) sprawdza, czy system zarządzania bezpieczeństwem informacji (SZBI) spełnia wymagania normy ISO/IEC 27001:2022 i czy ktoś go naprawdę stosuje. To audyt bezpieczeństwa informacji z jasnymi kryteriami. Są nimi wymagania z punktów 4-10 normy i 93 zabezpieczenia z Załącznika A.
Audyt wewnętrzny jest wymaganiem samej normy (pkt 9.2). Organizacja prowadzi go w zaplanowanych odstępach, sama albo z firmą zewnętrzną, a wyniki trafiają do przeglądu zarządzania. Audyt certyfikujący to co innego: prowadzi go akredytowana jednostka certyfikująca i to ona decyduje o wydaniu certyfikatu. PWNONE certyfikatów nie wydaje. Przygotowujemy Cię do audytu jednostki i pomagamy zamknąć niezgodności, które wskaże.
Audyt nie zastępuje wdrożenia. Oceniamy system, który już masz albo planujesz, i pokazujemy, czego w nim brakuje. Budowa SZBI od podstaw to osobna usługa. Jesteśmy też firmą pentesterską (OSCP, OSWE), więc wybrane zabezpieczenia, które Deklaracja stosowania opisuje jako wdrożone, sprawdzamy technicznie, zamiast wierzyć dokumentom na słowo.
Kiedy zamówić audyt ISO 27001
- Planujesz SZBI albo masz go głównie na papierze i chcesz wiedzieć, ile brakuje Ci do wymagań normy (audyt zerowy)
- Twój SZBI działa i potrzebujesz audytu wewnętrznego z pkt 9.2 normy, a w zespole nie ma nikogo niezależnego od ocenianych procesów
- Zbliża się audyt certyfikujący i chcesz znaleźć niezgodności, zanim zrobi to jednostka certyfikująca (audyt przed certyfikacją)
- Masz już certyfikat i chcesz sprawdzić system przed corocznym audytem nadzoru albo po dużej zmianie, np. przejściu do nowego dostawcy chmury
- Powierzasz informacje dostawcy i chcesz sprawdzić, czy jego zabezpieczenia odpowiadają temu, co deklaruje w ankiecie lub umowie (audyt drugiej strony)
Nie wydajemy certyfikatów ISO 27001: wydaje je akredytowana jednostka certyfikująca po własnym audycie. Jeśli SZBI trzeba dopiero zbudować, wybierz od razu wdrożenie SZBI, które zaczyna się od analizy luk. Jeśli jesteś podmiotem kluczowym w rozumieniu ustawy o KSC, audyt ISO 27001 nie zastąpi audytu z jej art. 15. A gdy chodzi Ci głównie o to, żeby cała firma działała mimo awarii, lepiej pasuje audyt ISO 22301, bo ISO 27001 obejmuje ciągłość działania tylko od strony bezpieczeństwa informacji.
Co sprawdza audyt SZBI
Sprawdzamy wymagania z punktów 4-10 normy i te zabezpieczenia z Załącznika A, które Twoja Deklaracja stosowania (SoA) wskazuje jako stosowane. Zakres zależy od rodzaju audytu: w audycie zerowym przechodzimy przez wszystkie wymagania i 93 zabezpieczenia, a audyt wewnętrzny może objąć wybrane procesy, jeśli program audytów rozkłada resztę na kolejne terminy.
Kontekst i zakres SZBI (pkt 4)
Sprawdzamy, czy granice systemu obejmują procesy, lokalizacje i dostawców, od których zależą Twoje informacje, i czy każde wyłączenie ma uzasadnienie. Od 2024 r. (Amd 1:2024) norma wymaga też ustalenia, czy zmiana klimatu ma znaczenie dla SZBI.
Kierownictwo i role (pkt 5)
Patrzymy, czy polityka bezpieczeństwa informacji jest zatwierdzona i znana pracownikom, a role przypisane konkretnym osobom. Rozmawiamy też z kierownictwem o tym, jak nadzoruje system.
Ryzyko i SoA (pkt 6 i 8)
Porównujemy rejestr ryzyk, plan postępowania z ryzykiem i Deklarację stosowania, bo te trzy dokumenty muszą do siebie pasować. Każde wyłączone zabezpieczenie wymaga uzasadnienia.
Zabezpieczenia z Załącznika A
93 zabezpieczenia w 4 grupach: organizacyjne (37), kadrowe (8), fizyczne (14) i technologiczne (34). Te oznaczone jako wdrożone sprawdzamy na dowodach, a wybrane także technicznie, np. MFA, kopie zapasowe i logowanie zdarzeń.
Zapisy z działania (pkt 7 i 8)
Szukamy dowodów, że SZBI działa na co dzień: list obecności ze szkoleń, rejestru incydentów, zapisów zmian i nadzoru nad dokumentacją. Polityka mówi, co robisz. Zapisy pokazują, że to robisz.
Ocena i doskonalenie (pkt 9 i 10)
Oceniamy mierniki, program audytów wewnętrznych i przegląd zarządzania. Sprawdzamy też, czy niezgodności z poprzednich audytów mają zamknięte działania korygujące.
Jak przebiega audyt
Rodzaj i zakres audytu
Ustalamy, którego audytu potrzebujesz, jakie procesy, lokalizacje i zabezpieczenia obejmie i według jakich kryteriów. Dostajesz plan audytu z listą rozmów i dokumentów, o które poprosimy.
Przegląd dokumentów
Czytamy politykę bezpieczeństwa, Deklarację stosowania, analizę ryzyka i wyniki poprzednich audytów. Z nich wynika, o co zapytamy w kolejnym kroku.
Rozmowy, zapisy i testy
Rozmawiamy z kierownictwem, właścicielami procesów i administratorami. Prosimy o zapisy z okresu działania systemu, a wybrane zabezpieczenia sprawdzamy technicznie.
Raport i spotkanie zamykające
Przy każdym ustaleniu podajemy punkt normy i dowód. Wyniki omawiamy z kierownictwem na spotkaniu zamykającym, a potem przekazujemy raport końcowy.
Działania korygujące
Pomagamy zaplanować poprawki i ustalić, jaki dowód potwierdzi zamknięcie każdej niezgodności. Lukę uznajemy za zamkniętą, gdy poprawka działa, a nie wtedy, gdy ktoś zatwierdził dokument.
Na czym opieramy audyt
- Wymagania ISO/IEC 27001:2022 (w Polsce PN-EN ISO/IEC 27001:2023-08): punkty 4-10 normy i 93 zabezpieczenia z Załącznika A
- Wytyczne do audytów ISO 19011 i ISO/IEC 27007, które opisują, jak planować audyt i formułować ustalenia na podstawie dowodów
- Obiektywizm i bezstronność, których wymaga pkt 9.2 normy: audytor nie ocenia zabezpieczeń, które sam projektował albo wdrażał
- Dowód zamiast deklaracji: każde ustalenie opieramy na dokumencie, zapisie albo teście, a deklaracja bez dowodu dostaje ocenę „nie wykazano spełnienia”
- W firmach objętych ustawą o KSC także jej wymagania wobec SZBI (art. 8), bo zakres certyfikacji i zakres ustawowy mogą się różnić
Co dostajesz po audycie
- Raport z audytu z listą ustaleń, każde z punktem normy, dowodem i oceną wagi
- Ocenę zabezpieczeń objętych audytem na trzech poziomach: czy rozwiązanie istnieje, czy jest wdrożone w całym zakresie i czy działa w czasie
- Rejestr luk z właścicielem, terminem i kryterium zamknięcia dla każdej pozycji
- Spotkanie zamykające z kierownictwem i wnioski do przeglądu zarządzania (pkt 9.3)
- Po audycie wewnętrznym raport, który jest dowodem realizacji pkt 9.2 dla audytora jednostki certyfikującej
Często zadawane pytania
Czym różni się audyt wewnętrzny ISO 27001 od audytu certyfikującego?
Audyt wewnętrzny ISO 27001 to wymaganie normy (pkt 9.2): organizacja planuje go sama i może go przeprowadzić własnymi siłami albo zlecić firmie zewnętrznej. Audyt certyfikujący prowadzi akredytowana jednostka certyfikująca w dwóch etapach i to ona decyduje o wydaniu certyfikatu. PWNONE prowadzi audyty wewnętrzne i przed certyfikacją, ale certyfikatów nie wydaje.
Który audyt ISO 27001 wybrać: zerowy, wewnętrzny czy przed certyfikacją?
Wybór zależy od etapu, na którym jest SZBI. Audyt zerowy, czyli analiza luk, ma sens przed wdrożeniem albo wtedy, gdy system istnieje głównie w dokumentach. Audyt wewnętrzny jest dla działającego SZBI, który musi spełnić pkt 9.2 normy, a audyt przed certyfikacją robi się z takim wyprzedzeniem, żeby zdążyć zamknąć niezgodności przed wizytą jednostki certyfikującej. Audyt dostawcy to osobny przypadek: oceniasz w nim system firmy, której powierzasz informacje.
Czy audyt wewnętrzny ISO 27001 może przeprowadzić firma zewnętrzna?
Tak. Norma wymaga audytów wewnętrznych, ale nie wymaga, żeby prowadzili je pracownicy organizacji. Wymaga za to obiektywizmu i bezstronności audytora, a w małym zespole trudno o kogoś, kto nie ocenia własnej pracy. Zlecenie audytu wewnętrznego bezpieczeństwa informacji na zewnątrz rozwiązuje ten problem, a organizacja nadal odpowiada za program audytów i działania korygujące.
Jak często trzeba przeprowadzać audyt wewnętrzny ISO 27001?
Norma nie podaje konkretnej częstotliwości. Wymaga audytów w zaplanowanych odstępach i programu audytów, który uwzględnia znaczenie procesów oraz wyniki poprzednich audytów. Przed pierwszą certyfikacją jednostka sprawdza, czy audyt wewnętrzny i przegląd zarządzania już się odbyły, a potem wraca co roku na audyt nadzoru. Audyt wewnętrzny najlepiej zaplanować tak, żeby działania korygujące były zamknięte przed tą wizytą.
Czy audyt SZBI według ISO 27001 obejmie też wymagania ustawy o KSC?
Tak, w części dotyczącej SZBI. W firmach objętych ustawą o KSC dodajemy do kryteriów audytu jej wymagania wobec SZBI z art. 8, bo zakres certyfikacji ISO 27001 i zakres SZBI wymagany przez ustawę mogą się różnić. Raport pokazuje wtedy, gdzie się rozchodzą. Audyt ISO 27001 nie zastąpi jednak audytu z art. 15, który podmiot kluczowy przechodzi co najmniej raz na 3 lata. Nie obejmie też obowiązków bez odpowiednika w normie, np. wpisu do wykazu podmiotów kluczowych i ważnych czy terminów zgłaszania incydentów. Te sprawdza analiza luk NIS2.
Ile kosztuje audyt ISO 27001?
Cena audytu ISO 27001 zależy od jego rodzaju, zakresu SZBI, liczby lokalizacji i procesów oraz od tego, czy dołączamy testy techniczne zabezpieczeń. Nie publikujemy cennika, bo dwa audyty rzadko wyglądają tak samo. Wycenę przygotowujemy po rozmowie, na której ustalamy zakres. Jeśli potem zdecydujesz się na certyfikację, audyt jednostki certyfikującej jest osobnym kosztem, płaconym bezpośrednio jednostce.
Porozmawiaj z Bartoszem Machnikiem o audycie ISO 27001
Bartosz Machnik, CBDO PWNONE, jest audytorem wiodącym ISO/IEC 27001 z certyfikatem TÜV NORD Polska i specjalizuje się w audytach zgodności z ISO 27001, NIS2 i DORA. Opowiedz mu, na jakim etapie jest Twój SZBI. Zaproponuje rodzaj i zakres audytu, a jeśli wystarczy mniej, niż zakładasz, powie Ci to wprost.
Umów rozmowę o audycie ISO 27001