Přínosy a význam integrovaných auditů s ISO 27001

V tomto textu se náš kolega z qualityaustria, DI Vincent Callède, MBA CISA,  zaměřuje na přínosy interních auditů. Tento přístup však může být využit i pro audity externí.

Integrované audity - proč jsou vždy užitečné

Integrované audity slouží nejen k posouzení výkonnosti, ale umožňují také přezkoumání konkrétních témat.

Kromě požadavků na systém řízení vyžaduje ISO 27001 - mezinárodní norma pro bezpečnost informací - specifická opatření v oblasti bezpečnosti informací ve své normativní příloze A. Ta jsou rozčleněna do čtyř kategorií:

1. Organizační opatření
2. Personální opatření
3. Fyzická opatření
4. Technologická opatření

Cílem je v průběhu (interního) auditu tyto požadavky na ochranu důvěrnosti, dostupnosti a integrity posoudit uceleným způsobem.

Několik konkrétních návrhů integrovaných auditů v souvislosti s hlavními normami ISO (např. ISO 9001, ISO 14001, ISO 45001) najdete v níže uvedených příkladech: Na obecné úrovni normy ISO vyžadují "zdokumentované informace". Jak zajistíte přístup k nejnovějším, dostupným a z hlediska integrity nenarušeným informacím? Přesně tyto požadavky jsou uvedeny v opatřeních pro zabezpečení informací podle normy ISO 27001.

• Během interního auditu založeného na ISO 9001 se podrobněji kontrolují zdroje potřebné pro základní procesy. Jak lze zaručit důvěrnost, integritu a dostupnost informací (např. znalostí organizace) u zdrojů?
• Při interním auditu podle normy ISO 14001 (environmentální management) se mimo jiné přezkoumávají požadavky z kapitoly "Připravenost na mimořádné události a prevence rizik". Jaká opatření zajišťují, že nebezpečí mohou být odvrácena "plánováním opatření k prevenci nebo minimalizaci nepříznivých dopadů na životní prostředí v důsledku havarijních situací"? Klíčovou roli zde hrají informační a komunikační technologie (ICT). Tento požadavek se odráží právě v opatřeních týkajících se bezpečnosti informací "Bezpečnost informací v případě narušení" a "Připravenost ICT pro zajištění kontinuity provozu".
• Cílem interního auditu založeného na normě ISO 37301 (řízení shody) je mimo jiné zkontrolovat, jak jsou zavedeny postupy prošetřování za účelem "posouzení, vyhodnocení, prověření a uzavření hlášení o podezření na neshodu nebo o skutečných případech neshody". Co by to bylo za procesy bez zabezpečení informací? Důvěrnost, dostupnost a integrita předávaných informací jsou klíčovými faktory pro zajištění řádného provádění těchto vyšetřovacích procesů.