Come ci prepariamo al primo audit di certificazione ISO 27001?

Parta dal perimetro e dalle prove, non dai documenti fini a se stessi. Fissi prima il perimetro: quale organizzazione, sedi, servizi e sistemi coprirà il certificato, scelti in modo che contino per i clienti e si possa arrivare in fondo. Poi svolga il lavoro centrale richiesto dalla norma: valutazione e piano di trattamento dei rischi, dichiarazione di applicabilità, politiche e procedure obbligatorie, ruoli assegnati, sensibilizzazione del personale e controlli che funzionano davvero. Li lasci funzionare abbastanza a lungo da produrre registrazioni, come riesami degli accessi, approvazioni delle modifiche, ticket degli incidenti, verifiche dei fornitori e riesami del monitoraggio, perché gli auditor verificano prove di funzionamento, non intenzioni. Svolga un audit interno e un riesame della direzione prima dell’audit esterno e corregga ciò che emerge. Gli audit di certificazione si svolgono di solito in due fasi: prima un esame della documentazione e della preparazione, poi una valutazione del funzionamento reale del sistema. Scelga un organismo di certificazione accreditato e tenga separato il consulente che La aiuta dall’auditor. Per i controlli di monitoraggio, la mappa di rete, lo storico degli alert, il registro di audit e i report di conformità in PDF di NetSenX possono far parte delle Sue prove; NetSenX non verifica né certifica nulla.

← Tutte le 15 domande su Standard di sicurezza: ISO 27001, SOC 2Tutti i temi