Denetimler, bir faaliyetin tanımlanmış bir dizi kriteri karşıladığından emin olmak için yaygın olarak kullanılır. Tüm ISO yönetim sistemi standartları için, yönetim sisteminin ilgili standardın gerekliliklerini, kuruluşun kendi gerekliliklerini ve hedeflerini karşılamasını ve verimli ve etkili kalmasını sağlamak için denetimler kullanılır. Bunu doğrulamak için bir denetim programı yürütmek gerekecektir.
ISO 27001 denetimi nedir?
Bir ISO 27001 denetimi, yetkin ve tarafsız bir denetçinin aşağıdakileri incelemesini içerir:
- BGYS veya unsurları ve standardın gereklerini karşıladığının test edilmesi,
- Kuruluşun kendi bilgi gereksinimleri, BGYS hedefleri,
- Politikaların, süreçlerin ve diğer kontrollerin pratik ve verimli olması.
BGYS'nin genel uyumluluğuna ve etkinliğine ek olarak, ISO 27001 bir kuruluşun bilgi güvenliği risklerini tolere edilebilir bir seviyede yönetmesini sağlamak için tasarlandığından, uygulanan kontrollerin gerçekten riski bir noktaya kadar azalttığını kontrol etmek gerekli olacaktır. Risk sahibi/sahipleri artık riski tolere etmekten memnundur.
ISO 27001 denetimleri neden önemlidir?
BGYS'nizin nasıl yönetildiğini ve performans gösterdiğini doğrulamadan, gerçekleştirmek üzere ayarlandığı hedeflere ulaştığına dair gerçek bir garanti yoktur.
Denetimler bu güvenceyi sağlamanın bir yolunu bulur.
BGYS'mi neden denetlemem gerekiyor?
BGYS'nizi denetlemek için birçok neden vardır:
- Standart bunu gerektirir Madde 9.2 İç denetim, bir iç denetim programını zorunlu kılar.
- BGYS'nizin yeterince uygulandığından ve işletildiğinden emin olmak için.
- BGYS'nin standardın gerekliliklerini karşılamasını sağlamak.
- BGYS'nin kuruluşun kendi gereksinimlerini karşılamasını sağlamak.
- BGYS'nin, kuruluş tarafından Madde 6.2 Bilgi güvenliği amaçlarına göre bilgi güvenliği için belirlenen hedefleri karşılamasını ve bunlara ulaşmayı planlamasını sağlamak.
- BGYS'nin bilgi güvenliği risklerini tolere edilebilir bir düzeye indirmede etkili olmasını sağlamak.
- Uygunsuzlukların ve düzeltici faaliyetlerin zamanında ele alınmasını sağlamak.
- Bilgi güvenliği zayıflıklarının, olaylarının ve olaylarının etkili ve verimli bir şekilde raporlanmasını, yönetilmesini ve çözülmesini sağlamak.
ISO 27001 iç denetimlerine neler dahildir?
Belge incelemesi: Bu, amaca uygun olduğundan ve gözden geçirildiğinden ve sürdürüldüğünden emin olmak için kuruluşun politikalarının, prosedürlerinin, standartlarının ve kılavuz belgelerinin gözden geçirilmesidir.
Kanıtsal denetim (veya saha incelemesi): Bu, politikalara uyulduğunu, prosedürlere ve standartlara uyulduğunu ve bu rehberliğin dikkate alındığını göstermek için kanıtları aktif olarak örnekleyen bir denetim faaliyetidir.
Analiz: Dokümantasyon incelemesi ve/veya kanıta dayalı örneklemenin ardından denetçi, standart gerekliliklerin karşılanıp karşılanmadığını doğrulamak için bulguları değerlendirecek ve analiz edecektir.
Denetim raporu: Madde 9.2f'deki standardın gerektirdiği şekilde bir denetim raporunun hazırlanması ve görünürlüğü sağlamak için yönetime sunulması gerekecektir.
Yönetimin gözden geçirmesi: Madde 9.3 Yönetimin gözden geçirmesi kapsamında gerekli bir faaliyettir ve düzeltici eylemlerin ve iyileştirmelerin gerektiği gibi uygulandığından emin olmak için yürütülen denetimlerin bulgularını dikkate almalıdır.