Kawalan, Audit dan Pensijilan

Kawalan juga dikelaskan berdasarkan sifatnya:

• Pentadbiran — dasar, prosedur, latihan dan semakan akses.
• Teknikal — dilaksanakan dalam teknologi: penyulitan, kawalan akses dan pengelogan.
• Fizikal — kunci, pembaca lencana dan kemudahan selamat.

Juruaudit mencari liputan dalam ketiga-tiga bidang. Kawalan teknikal yang sempurna tetapi dilemahkan oleh dasar yang tiada siapa patuhi bukanlah kawalan sebenar.

Juruaudit menilai kawalan berdasarkan dua dimensi:

• Keberkesanan reka bentuk — jika berfungsi seperti yang dimaksudkan, adakah kawalan itu mampu menangani risiko?
• Keberkesanan operasi — adakah kawalan itu benar-benar berfungsi secara konsisten dalam suatu tempoh?

Kawalan boleh direka dengan baik atas kertas tetapi gagal semasa operasi (contohnya, semakan rekod aktiviti yang sebenarnya tidak dilakukan oleh sesiapa). Bukti mesti membuktikan kedua-duanya.

Audit bergantung pada bukti. Bagi setiap kawalan, anda mesti menunjukkan bahawa kawalan itu beroperasi. Artifak yang lazim termasuk:

• Rekod semakan akses yang menunjukkan pengesahan semula setiap suku tahun.
• Rekod aktiviti dan tiket yang membuktikan amaran telah disiasat.
• Eksport konfigurasi yang menunjukkan penyulitan atau MFA dikuatkuasakan.
• Rekod penyelesaian latihan.

Juruaudit menggunakan pensampelan. Mereka memilih satu kawalan, meminta bukti bagi suatu tempoh dan menjejakinya dari awal hingga akhir.

Terdapat dua lapisan audit:

• Audit dalaman — anda (atau juruaudit dalaman yang diupah) menyemak ISMS sendiri untuk mengenal pasti jurang sebelum audit luaran. Audit ini diwajibkan oleh ISO 27001.
• Audit luaran / pensijilan — badan bebas dan bertauliah menilai organisasi anda untuk mendapatkan sijil.

Audit dalaman ialah latihan percubaan. Mengenal pasti ketidakakuran sendiri terlebih dahulu jauh lebih murah daripada membiarkan badan pensijilan menemuinya.

Pensijilan ISO 27001 dijalankan dalam dua peringkat:

• Peringkat 1 — semakan dokumentasi. Juruaudit menyemak sama ada dokumen ISMS, skop, dasar, penilaian risiko dan Pernyataan Kebolehgunaan anda wujud serta selaras.
• Peringkat 2 — audit pelaksanaan. Juruaudit mengesahkan bahawa kawalan benar-benar beroperasi melalui temu bual, pensampelan bukti dan pemerhatian.

Lulus kedua-duanya dan anda menerima sijil yang biasanya sah selama tiga tahun dengan pengawasan berterusan.

Audit menghasilkan penemuan yang dinilai berdasarkan tahap keterukan:

• Ketidakakuran utama — kawalan tidak wujud atau gagal secara asas; menghalang pensijilan sehingga diperbaiki.
• Ketidakakuran kecil — kegagalan yang tidak menjejaskan keseluruhan sistem; memerlukan pelan tindakan pembetulan.
• Pemerhatian / peluang penambahbaikan — berbentuk nasihat, bukan kegagalan.

Anda memberikan respons melalui pelan tindakan pembetulan: punca asas, pembaikan dan langkah mencegah kejadian berulang.

Pensijilan bukan kekal. Sijil ISO 27001 berjalan mengikut satu kitaran:

• Audit pengawasan — biasanya dijalankan setiap tahun sebagai semakan yang lebih ringkas untuk memastikan ISMS masih beroperasi.
• Audit pensijilan semula — penilaian semula penuh, biasanya setiap tiga tahun.

Kitaran ini memastikan ISMS terus berjalan. Jika kawalan terabai antara audit, anda berisiko kehilangan sijil pada audit pengawasan yang seterusnya.

Pasukan yang matang mengelakkan kesibukan mengejar audit dengan mengamalkan pematuhan berterusan: kumpulkan bukti secara automatik dan pastikan kawalan sentiasa bersedia untuk diaudit.

• Automatikkan pengumpulan bukti (semakan akses, petikan konfigurasi) mengikut jadual.
• Pantau hanyutan kawalan, contohnya baldi S3 yang dijadikan awam, dalam masa nyata.
• Anggap pematuhan sebagai keadaan berterusan, bukan projek tahunan.

Di sinilah alat SOAR dan automasi pematuhan turut memberikan manfaat, dengan menukar audit pada satu-satu masa kepada jaminan berterusan.

Kadangkala kawalan yang diperlukan benar-benar tidak dapat dilaksanakan seperti yang ditetapkan, contohnya sistem legasi tidak menyokong MFA. Rangka kerja membenarkan kawalan pampasan: alternatif yang memenuhi objektif risiko yang sama.

• Dokumentasikan sebab kawalan asal tidak dapat dilaksanakan.
• Huraikan alternatif tersebut (contohnya pengasingan rangkaian yang ketat serta pemantauan yang dipertingkatkan terhadap sistem legasi).
• Tunjukkan bahawa alternatif itu mengurangkan risiko ke tahap yang setara.

Juruaudit menerima kawalan pampasan apabila rasional dan pengurangan risiko yang setara dibuktikan dengan jelas, bukan sekadar dinyatakan.

Kawalan, audit dan pensijilan:

• Kawalan bersifat pencegahan, pengesanan atau pembetulan mengikut fungsi, dan bersifat pentadbiran, teknikal atau fizikal mengikut sifatnya; lapiskan semuanya.
• Juruaudit menilai keberkesanan reka bentuk dan keberkesanan operasi, manakala operasi memerlukan bukti sepanjang suatu tempoh.
• Audit dalaman mengesan jurang sebelum audit pensijilan luaran, yang dijalankan dalam Peringkat 1 (dokumentasi) dan Peringkat 2 (pelaksanaan).
• Penemuan merangkumi ketakakuran besar dan kecil serta pemerhatian; berikan respons melalui pelan tindakan pembetulan.
• Sijil memerlukan audit pengawasan dan pensijilan semula; amalkan pematuhan berterusan supaya sentiasa bersedia untuk diaudit.