Interne auditplan

Het plan waarin staat welke onderdelen van uw beveiligingsaanpak wanneer worden gecontroleerd, door wie, en hoe de uitkomsten worden opgevolgd.

Wat erin hoort

• welke onderdelen worden geauditeerd, verdeeld over een periode
• wie de audits uitvoert, en waarom die persoon onafhankelijk genoeg is
• de planning: wat wanneer aan de beurt is
• hoe bevindingen worden geregistreerd en ingedeeld naar ernst
• hoe oorzaakanalyse en corrigerende maatregelen verlopen
• hoe de uitkomsten in de directiebeoordeling terechtkomen

Wie stelt het vast

Vaststelling gebeurt door de verantwoordelijke voor informatiebeveiliging, goedgekeurd door het bestuur. Zonder datum en zonder vaststeller heeft een document geen status, en dan telt het bij een controle niet mee als bewijs.

Hoe vaak herzien

Herzien: jaarlijks bij het opstellen van de nieuwe planning. Zet de volgende herzieningsdatum in het document zelf, dan is het bij een controle meteen duidelijk of het actueel is.

Hoe lang moet het zijn

één tot twee pagina's plan, plus een auditverslag per uitgevoerde audit.

Fouten die er het vaakst in zitten

• De auditor beoordeelt zijn eigen werk, waardoor de audit geen waarde heeft.
• Er wordt alleen gecontroleerd of documenten bestaan, niet of ze worden gevolgd.
• Bevindingen worden geregistreerd maar niet opgevolgd.
• Alleen de makkelijke onderdelen komen aan de beurt, jaar na jaar.

Een cyclus van drie jaar

Elk jaar komt daar de controle op de opvolging van eerdere bevindingen bij. Na drie jaar heeft u alles gehad en begint de cyclus opnieuw. Kritieke onderdelen zoals back-up en toegang neemt u elk jaar mee, ook al zijn ze niet aan de beurt.

Onafhankelijkheid in een klein bedrijf

De norm eist dat een auditor niet zijn eigen werk beoordeelt. In een organisatie van twintig man lijkt dat onmogelijk, maar het kan met wat creativiteit: laat een collega uit een andere discipline de audit doen, wissel met een bevriend bedrijf, of huur er een dagdeel iemand voor in. Alle drie zijn verdedigbaar; de beheerder die zijn eigen beheer controleert is dat niet.

Controleer de praktijk, niet het document

Een audit die vaststelt dat het toegangsbeleid bestaat, zegt niets. Een audit die drie willekeurige accounts pakt en controleert of hun rechten kloppen met de matrix, zegt alles. Richt uw audits daarom in op steekproeven in de werkelijkheid en niet op het afvinken van documenten.

Verhouding tot de Cyberbeveiligingswet

Ondersteunt maatregel 6 over het beoordelen van de effectiviteit. De wet vraagt niet om een bepaald document, maar om aantoonbare maatregelen. Dit document is de gebruikelijke manier om dat aan te tonen.

Verhouding tot ISO 27001

Verplicht onderdeel van ISO 27001, hoofdstuk 9.2. Zonder uitgevoerde interne audit is certificering niet mogelijk. Zie de ISO 27001-checklist voor het volledige overzicht.

Wat een audit in de praktijk aan tijd kost

Een interne audit van één onderdeel, bijvoorbeeld toegangsbeheer, is voor een mkb-organisatie in een dagdeel te doen: een uur voorbereiden, twee uur steekproeven nemen en gesprekken voeren, en een uur om de bevindingen op papier te zetten. Grotere onderdelen zoals leveranciersbeoordeling of incidentafhandeling kosten al snel een hele dag, vooral omdat er meer mensen bevraagd moeten worden.

Het plan zelf, de indeling van wat wanneer aan de beurt komt, schrijft u in een uur met de tabel verderop als uitgangspunt. De tijd die er daarna ingaat, zit in het daadwerkelijk uitvoeren en in het opvolgen van bevindingen, niet in het plan zelf. Loop de ISO 27001-checklist langs om te bepalen welke onderdelen nog niet aan bod zijn gekomen.

Onderschat de voorbereidingstijd van de auditor zelf niet. Iemand die voor het eerst audit, heeft meer tijd nodig om te bedenken welke steekproef iets zegt: niet drie willekeurige accounts pakken, maar drie accounts die extra risicovol zijn, bijvoorbeeld van mensen die kortgeleden van functie zijn gewisseld. Die voorbereiding is de tweede keer al de helft korter, omdat de auditor dan weet waar hij op moet letten.

Verschil met de directiebeoordeling

Waar de audit zelf een dagdeel tot een dag kost, is de directiebeoordeling het overleg waarin de uitkomsten van al die audits samenkomen. Het interne auditplan regelt de losse controles gedurende het jaar. De directiebeoordeling regelt het moment waarop het bestuur alle bevindingen samen bekijkt en besluit wat ermee gebeurt. Beide documenten zijn zonder het andere onaf: audits zonder beoordeling leveren losse constateringen op zonder besluit, een beoordeling zonder audits heeft niets om op te sturen.

Veelgestelde vragen

Kan ik hiervoor een sjabloon gebruiken?

Als startpunt voor de structuur wel. De inhoud moet over uw organisatie gaan, anders valt het bij de eerste controle door de mand. Een auditor vraagt een medewerker naar iets wat erin staat; kent niemand het, dan is dat een bevinding.

Is dit document wettelijk verplicht?

De Cyberbeveiligingswet schrijft geen documenten voor, maar wel dat u passende maatregelen neemt en kunt aantonen. In de praktijk is vastleggen de enige manier om dat aan te tonen.

Mag ik zelf mijn interne audit doen?

Iemand uit uw organisatie mag het doen, zolang die persoon niet zijn eigen werk beoordeelt.

Hoe vaak moet ik intern auditen?

Alle onderdelen moeten over een afgesproken cyclus aan bod komen, meestal een tot drie jaar. Kritieke onderdelen jaarlijks.

Moet ik alle onderdelen in één jaar auditen?

Niet nodig. Een cyclus van een tot drie jaar is gebruikelijk, met kritieke onderdelen zoals toegang en back-up elk jaar.

Wie moet ik voor een audit vrijmaken?

Reken op een dagdeel van de auditor en losse gesprekken van een kwartier per bevraagde medewerker.

Wat kost het opvolgen van bevindingen?

Dat verschilt sterk per bevinding. Reken vooraf een moment in om te bepalen wie de opvolging oppakt en wanneer die klaar moet zijn.

Wordt de eerste audit sneller of trager naarmate u vaker audit?

Sneller. Zodra de auditor weet welke steekproeven iets zeggen, kost een vergelijkbaar onderdeel het jaar erop merkbaar minder tijd.