Kontroller, audits og certificering

Kontroller klassificeres også efter deres karakter:

• Administrative — politikker, procedurer, oplæring, adgangsgennemgange.
• Tekniske — implementeret i teknologi: kryptering, adgangskontrol, logning.
• Fysiske — låse, kortlæsere, sikre faciliteter.

Revisorer ser efter dækning på alle tre områder. En perfekt teknisk kontrol, som undermineres af en politik, ingen følger, er ikke en reel kontrol.

Revisorer evaluerer kontroller på to områder:

• Designets effektivitet — kan kontrollen, hvis den fungerer efter hensigten, håndtere risikoen?
• Driftens effektivitet — fungerer den faktisk konsekvent over en periode?

En kontrol kan være veldesignet på papiret, men svigte i driften (for eksempel en loggennemgang, som ingen faktisk udfører). Dokumentationen skal vise begge dele.

Audits bygger på dokumentation. For hver kontrol skal du vise, at den fungerer. Typisk dokumentationsmateriale:

• Registreringer af adgangsgennemgange, der viser kvartalsvis recertificering.
• Logge og sager, der dokumenterer, at alarmer er blevet undersøgt.
• Konfigurationseksporter, der viser, at kryptering eller MFA håndhæves.
• Registreringer af gennemført oplæring.

Revisorer udtager stikprøver. De vælger en kontrol, beder om dokumentation for en periode og følger den fra start til slut.

Der er to auditniveauer:

• Intern audit — du eller en hyret intern revisor gennemgår dit eget ISMS for at finde huller før den eksterne audit. Det kræves af ISO 27001.
• Ekstern audit eller certificeringsaudit — et akkrediteret, uafhængigt organ vurderer din organisation med henblik på certifikatet.

Interne audits er en generalprøve. Det er langt billigere selv at finde dine afvigelser først, end at certificeringsorganet finder dem.

ISO 27001-certificering foregår i to faser:

• Fase 1 — dokumentationsgennemgang. Revisoren kontrollerer, at dine ISMS-dokumenter, omfang, politik, risikovurdering og SoA findes og hænger sammen.
• Fase 2 — implementeringsaudit. Revisoren bekræfter, at kontrollerne faktisk fungerer, gennem samtaler, stikprøver af dokumentation og observation.

Består du begge faser, modtager du certifikatet, som typisk er gyldigt i tre år med løbende overvågning.

Audits resulterer i fund, som graderes efter alvorlighed:

• Væsentlig afvigelse — en kontrol mangler eller svigter grundlæggende; certificering blokeres, indtil problemet er løst.
• Mindre afvigelse — en fejl, der ikke underminerer hele systemet; kræver en plan for korrigerende handling.
• Observation eller forbedringsmulighed — rådgivende, ikke et svigt.

Du reagerer med en plan for korrigerende handling: grundårsag, løsning og forebyggelse af gentagelse.

Certificering er ikke permanent. ISO 27001-certifikater følger en cyklus:

• Overvågningsaudits — normalt årlige, mindre omfattende kontroller af, at ISMS'et stadig fungerer.
• Recertificeringsaudit — en fuld ny vurdering, typisk hvert tredje år.

Det sikrer, at ISMS'et fortsat fungerer. Hvis kontrollerne får lov at bortfalde mellem audits, risikerer du at miste certifikatet ved det næste overvågningsbesøg.

Modne teams undgår kapløbet op til revisionen ved at arbejde med løbende compliance: indsamle dokumentation automatisk og holde kontrollerne altid klar til revision.

• Automatisér indsamlingen af dokumentation (adgangsgennemgange, konfigurationsøjebliksbilleder) efter en fast plan.
• Overvåg afvigelser i kontroller, f.eks. når en S3-bucket bliver offentlig, i realtid.
• Betragt compliance som en kontinuerlig tilstand, ikke som et årligt projekt.

Det er også her, SOAR- og værktøjer til compliance-automatisering viser deres værdi ved at omdanne punktvise revisioner til løbende sikkerhed for overholdelse.

Nogle gange kan en påkrævet kontrol reelt ikke implementeres som beskrevet. Det kan for eksempel være, at et ældre system ikke understøtter MFA. Rammeværk tillader kompenserende kontroller: et alternativ, der opfylder det samme risikomål.

• Dokumentér, hvorfor den oprindelige kontrol ikke kan gennemføres.
• Beskriv alternativet (f.eks. streng netværksisolering samt udvidet overvågning af det ældre system).
• Vis, at det reducerer risikoen til et tilsvarende niveau.

Revisorer accepterer kompenserende kontroller, når begrundelsen og den tilsvarende risikoreduktion er tydeligt dokumenteret og ikke blot påstået.

Kontroller, revisioner og certificering:

• Kontroller er efter funktion forebyggende, detekterende eller korrigerende og efter art administrative, tekniske eller fysiske; læg dem alle i lag.
• Revisorer vurderer både effektiviteten af designet og effektiviteten i driften, og drift kræver dokumentation over en periode.
• Interne revisioner finder mangler før den eksterne certificeringsrevision, som gennemføres i trin 1 (dokumentation) og trin 2 (implementering).
• Fund spænder fra større og mindre afvigelser til observationer; reagér med handlingsplaner for korrigerende tiltag.
• Certifikater kræver overvågnings- og recertificeringsrevisioner; arbejd med løbende compliance for altid at være klar til revision.