Certyfikat to nie meta. To początek utrzymania zgodności, o którym mało kto myśli w dniu wręczenia dokumentu. Certyfikat ISO 27001 na ścianie i zerowe działania rok później widać więcej razy, niż być powinno. Firma przechodzi przez miesiące przygotowań, gap analysis, budowę dokumentacji, audyt certyfikujący, w końcu dostaje dokument, robi zdjęcie do mediów społecznościowych i przez kolejne dwanaście miesięcy nikt nie zagląda do systemu zarządzania bezpieczeństwem informacji, dopóki nie zbliży się kolejny audyt.
Ten artykuł pokazuje, co konkretnie trzeba robić po certyfikacji, żeby certyfikat pozostał ważny, i czego zaniedbanie najczęściej prowadzi do niezgodności podczas audytu nadzoru.

Co trzeba robić cyklicznie po certyfikacji

Certyfikat ISO 27001 nie jest przyznawany raz na zawsze. Standardowy cykl certyfikacji trwa trzy lata, ale w tym czasie jednostka certyfikująca przeprowadza coroczne audyty nadzoru, sprawdzające, czy system zarządzania bezpieczeństwem informacji nadal działa zgodnie z wymaganiami normy. Żeby te audyty przechodzić bez problemów, kilka elementów musi być realizowanych w sposób ciągły, nie tylko w tygodniu poprzedzającym wizytę audytora.

Pierwszy element to przegląd zarządzania, o którym pisałem już wcześniej na tym blogu. Norma wymaga, żeby najwyższe kierownictwo przeglądało system w zaplanowanych odstępach czasu, zwykle raz w roku, z konkretnymi danymi wejściowymi i decyzjami wyjściowymi. To nie może być jednorazowe wydarzenie sprzed pierwszego audytu, tylko cykliczna praktyka.

Drugi element to audyty wewnętrzne. Firma musi regularnie sprawdzać sama siebie, przed tym jak zrobi to zewnętrzny audytor, i dokumentować wyniki tych sprawdzeń. Audyt wewnętrzny powinien obejmować różne obszary normy w rotacji, tak żeby w cyklu trzyletnim przejrzeć wszystkie istotne kontrolki, a nie tylko te wygodne do sprawdzenia.

Trzeci element to bieżące zarządzanie ryzykiem. Ocena ryzyka wykonana na etapie wdrożenia traci aktualność, kiedy firma wprowadza nowe systemy, zmienia dostawców albo zatrudnia nowych ludzi. Rejestr ryzyka wymaga aktualizacji przynajmniej raz w roku, a najlepiej za każdym razem, gdy w organizacji pojawia się istotna zmiana wpływająca na bezpieczeństwo informacji.

Czwarty element to rejestr incydentów i wyciąganie z niego wniosków. Same zgłoszenia incydentów to za mało. Norma oczekuje, że firma analizuje przyczyny powtarzających się problemów i wprowadza działania korygujące, które ograniczają ryzyko powtórzenia się podobnego zdarzenia.

Piąty element to utrzymanie aktualności szkoleń i podnoszenia świadomości pracowników, bo ludzie zmieniają się w firmie szybciej niż dokumentacja, a nowi pracownicy muszą przejść przez ten sam proces wdrożenia w zasady bezpieczeństwa co ich poprzednicy.

Najczęstsze zaniedbania po pierwszym audycie

Najczęstszym zaniedbaniem, jakie widzę, jest traktowanie okresu między audytami jako czasu wolnego od obowiązków związanych z normą. Zespół, który intensywnie pracował przez kilka miesięcy przed certyfikacją, po otrzymaniu dokumentu wraca do swoich standardowych zadań i system zarządzania bezpieczeństwem informacji zostaje bez właściciela na kolejne miesiące. Rejestr ryzyka nie jest aktualizowany, przegląd zarządzania odbywa się w pośpiechu tydzień przed audytem nadzoru, a szkolenia dla nowych pracowników są pomijane, bo nikt formalnie nie jest za nie odpowiedzialny.

Drugie częste zaniedbanie to brak śledzenia działań korygujących z poprzedniego audytu. Jeśli audytor wskazał drobną niezgodność albo obserwację przy pierwszym audycie certyfikującym, firma powinna wdrożyć poprawkę i udokumentować to wdrożenie. Zaniedbanie tego punktu oznacza, że przy audycie nadzoru ten sam problem wraca, tylko tym razem jako powtórzona niezgodność, co wygląda znacznie gorzej w oczach audytora niż pojedynczy, naprawiony błąd.

Trzecie zaniedbanie dotyczy dokumentacji, która przestaje odzwierciedlać rzeczywistość, podobnie jak w przypadku deklaracji stosowania, o której pisałem w innym artykule. Polityki napisane przy certyfikacji często nie są aktualizowane, mimo że firma zmienia dostawców, wdraża nowe narzędzia albo zmienia strukturę organizacyjną. Audytor podczas audytu nadzoru sprawdza właśnie takie rozbieżności, więc firma, która nie aktualizuje dokumentacji na bieżąco, naraża się na niezgodności wynikające wyłącznie z zaniedbania administracyjnego, a nie z rzeczywistych problemów z bezpieczeństwem.

Jak przygotować się do audytu nadzoru

Przygotowanie do audytu nadzoru wygląda inaczej niż przygotowanie do pierwszej certyfikacji, bo zakres sprawdzanych obszarów jest zwykle węższy, ale oczekiwania co do ciągłości działania systemu są wyższe.

Pierwszy krok to przegląd działań korygujących z poprzedniego audytu i potwierdzenie, że wszystkie zostały wdrożone i udokumentowane.

Drugi krok to aktualizacja rejestru ryzyka i deklaracji stosowania, tak żeby odzwierciedlały bieżący stan firmy, a nie stan sprzed roku.

Trzeci krok to zebranie dowodów na ciągłość działań: protokoły z przeglądów zarządzania, raporty z audytów wewnętrznych, rejestr incydentów z komentarzami o wyciągniętych wnioskach, listy obecności ze szkoleń przeprowadzonych w minionym roku. Audytor podczas audytu nadzoru pyta właśnie o te dowody, nie o samą treść polityk, które sprawdził już przy pierwszej certyfikacji.

Czwarty krok to wyznaczenie w firmie osoby odpowiedzialnej za utrzymanie systemu na co dzień, nawet jeśli to nie jest jej jedyne zadanie. Bez jasno przypisanej odpowiedzialności system zarządzania bezpieczeństwem informacji między audytami działa wyłącznie na zasadzie przypominania sobie o nim tuż przed kolejną wizytą audytora, a to jest dokładnie ten wzorzec, który prowadzi do zaniedbań opisanych wyżej.

Utrzymanie zgodności po certyfikacji wymaga mniej intensywnej pracy niż samo wdrożenie, ale wymaga jej systematycznie, przez cały rok, nie tylko w tygodniach poprzedzających audyt. Firmy, które to rozumieją, przechodzą przez kolejne audyty nadzoru sprawnie i bez niespodzianek. Firmy, które traktują certyfikat jako zamknięty temat, zwykle odkrywają swój błąd dopiero w gabinecie audytora.

Formularz kontaktowy