Hoe bereiden we ons voor op onze eerste ISO 27001-certificeringsaudit?

Begin met reikwijdte en bewijs, niet met documenten om de documenten. Leg eerst het toepassingsgebied vast: welke organisatie, locaties, diensten en systemen het certificaat dekt, zo gekozen dat het voor klanten telt en af te ronden is. Doe dan het kernwerk dat de norm eist: risicobeoordeling en behandelplan, verklaring van toepasselijkheid, de verplichte beleidsdocumenten en procedures, toegewezen rollen, bewustwording van medewerkers en maatregelen die echt draaien. Laat ze lang genoeg draaien om vastleggingen op te leveren, zoals toegangsreviews, goedkeuringen van wijzigingen, incidenttickets, leverancierscontroles en monitoringreviews, want auditors toetsen bewijs van werking, geen voornemens. Voer vóór de externe audit een interne audit en een directiebeoordeling uit en herstel wat die opleveren. Certificeringsaudits verlopen meestal in twee fasen: eerst een beoordeling van documentatie en gereedheid, daarna een toets of het systeem in de praktijk werkt. Kies een geaccrediteerde certificatie-instelling en houd de adviseur die u helpt gescheiden van de auditor. Voor de monitoringmaatregelen kunnen de netwerkkaart, de meldingshistorie, het auditlog en de pdf-compliancerapporten van NetSenX deel van uw bewijs zijn; NetSenX auditeert of certificeert niets.

← Alle 15 vragen over Beveiligingsnormen: ISO 27001, SOC 2Alle onderwerpen