5 topowych umiejętności audytora wewnętrznego ISO/IEC 27001

5 topowych umiejętności audytora wewnętrznego systemu zarządzania bezpieczeństwem informacji ISO/IEC 27001

Audyty wewnętrzne są konieczne do zachowania zgodności z normą ISO/IEC 27001. Jakie umiejętności powinien mieć audytor wewnętrzny? Sprawdź.

 

Rozmowy z pracownikami, próbki materiału dowodowego, prezentacja wyników – to wybrane aspekty audytów wewnętrznych. Jak je prowadzić, by były skuteczne?

 

5 umiejętności audytora wewnętrznego ISMS

 

1. Gromadzenie dowodów

Rolą audytora jest sprawdzenie skuteczności działania systemu zarządzania bezpieczeństwem informacji zgodnie z wymaganiami normy poprzez zbieranie dowodów.

  • Zaplanuj wywiady z właścicielami procesów i pracownikami pierwszej linii. Zadawaj pytania otwarte, dopytuj o szczegóły.
  • Przejrzyj udokumentowane informacje: zasady, procedury, rejestry ryzyka, oświadczenie o stosowalności itp.
  • Wybieraj reprezentatywne rekordy dla różnych dat, użytkowników, systemów i lokalizacji. Śledź każdą próbkę od wymagania, przez dowód, po wynik.
  • Potwierdź zeznania z wywiadu dokumentami i obserwacją. Jeśli trzy źródła potwierdzają wynik, to ich wiarygodność wzrasta.
  • Utwórz czytelny ślad audytu. Zanotuj, kto co powiedział, które dokumenty przeglądałeś i gdzie przechowywany jest każdy dowód.

 

2. Ocena ryzyka

Audytor wewnętrzny powinien sprawdzić nie tylko, czy wybrano i wdrożono odpowiednie środki kontroli, ale też czy są one proporcjonalne do ryzyka, na jakie narażona jest organizacja.

  • Zapoznaj się z metodologią oceny ryzyka i sprawdź, czy jest ona konsekwentnie przestrzegana.
  • Przejrzyj rejestr ryzyka pod kątem własności i możliwości prześledzenia przebiegu ryzyka i poprawy.
  • Kwestionuj założenia. Zweryfikuj, czy uwzględniono zależności i ryzyko związane z dostawcami.
  • Przetestuj Deklarację stosowania pod kątem Aneksu A. Czy uwzględnione kontrole są wdrożone i monitorowane? Czy wyłączenia są właściwie uzasadnione?
  • Sprawdź, czy dane z monitoringu i pomiarów potwierdzają założenia dotyczące redukcji ryzyka.

 

3. Planowanie audytu

Norma ISO 19011 zapewnia sprawdzone ramy planowania, przeprowadzania i dokumentowania audytów, które są obiektywne, spójne i powtarzalne.

  • Określ zakres i kryteria. Określ jasno procesy, lokalizacje i technologie. Unikaj rozrostu zakresu.
  • Stwórz program audytu. Zaplanuj audyty, opierając się na ryzyku, dojrzałości i wynikach z przeszłości. Przydzielaj kompetentnych audytorów i unikaj konfliktów interesów.
  • Przygotuj plan. Wymień audytowanych, harmonogram, lokalizacje i sposób pobierania próbek. Roześlij plan z wyprzedzeniem, aby określić oczekiwania.
  • Używaj list kontrolnych rozważnie i dostosuj pytania do organizacji. Listy kontrolne powinny służyć jedynie jako wskazówki.
  • Zarządzaj czasem. Prowadź krótkie wywiady, koncentruj się na dowodach, planuj działania i śledź zgodność z planem.

 

4. Pisanie raportów

Wyniki audytu pomagajądoskonalić system tylko wtedy, gdy menedżerowie potrafią je zrozumieć i na ich podstawie działać. Jasne i zwięzłe raportowanie to podstawowa umiejętność audytora.

  • Przedstaw fakty: wymagania, dowody i wszelkie odstępstwa. Unikaj spekulacji.
  • Zwięźle wyjaśnij wpływ, łącząc kwestie z ryzykiem, celami lub obowiązkami.
  • Przypisz odpowiedzialność i ustal realistyczne ramy czasowe. Uzyskaj propozycje korekt i działań naprawczych od właściciela procesu.
  • Używaj prostego języka i krótkich zdań.

 

5. Komunikacja i pewność siebie

Sukces audytorów zależy od ludzi. Zadbaj o nawiązanie relacji, zadawaj precyzyjne pytania. Stosuj techniki radzenia sobie z oporem i naucz się dyplomatycznie prezentować wyniki.

  • Przygotuj uczestników audytu. Wyjaśnij cel, zakres i harmonogram. Stwórz spokojny, profesjonalny nastrój.
  • Zapytaj, a potem słuchaj. Zadawaj pytania otwarte, aby zgłębić temat, i pytania zamknięte, aby potwierdzić. Podsumuj, aby sprawdzić zrozumienie.
  • W razie wątpliwości wróć do zakresu, kryteriów i dowodów. Zachowaj neutralność.
  • Przedstaw wnioski w zrównoważony sposób. Zacznij od tego, co działa, a następnie omów kwestie merytorycznie i ustal dalsze kroki.
  • Dopilnuj, aby interesariusze byli informowani na bieżąco i weryfikowani, nie wdając się w konsultacje.

 

Tych umiejętności możesz się nauczyć i je ćwiczyć – odpowiednie szkolenie pomoże Ci je szybko i pewnie rozwinąć.

 

Szkolenie dla audytorów wewnętrznych pozwala na zdobycie praktycznej wiedzy oraz umiejętności z zakresu oceny zdolności organizacji do zarządzania wszystkimi aspektami bezpieczeństwa informacji. Podczas szkolenia uczestnicy zdobywają wiedzę oraz umiejętności praktyczne umożliwiające planowanie, realizowanie i raportowanie wyników audytu wewnętrznego SZBI.

 

Już dziś zarezerwuj miejsce na szkoleniu dla audytorów wewnętrznych w ISOQAR.

Skontaktuj się z nami

„Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.„

>>Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityka prywatności

Polityka prywatności

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).

Klauzula informacyjna zapytanie ofertowe

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informuję, iż:

1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną:  iod@isoqar.pl

3. Pani/Pana dane osobowe przetwarzane będą w celu:

•             odpowiedzi na zapytanie ofertowe na podstawie art. 6 ust. 1 lit. f RODO

więcej informacji pod linkiem

•             kontaktu w celu przekazania informacji marketingowych i handlowych na podstawie art. 6 ust. 1 lit. a RODO

•             w celu realizacji prawnie uzasadnionego interesu Spółki, polegającego na ewentualnym ustaleniu lub dochodzeniu roszczeń lub obronie przed roszczeniami, na podstawie prawnie uzasadnionego interesu Spółki (art. 6 ust. 1 lit. f RODO).

4. Odbiorcą Pani/Pana danych osobowych będą wspólnicy i pracownicy Administratora w zakresie swoich obowiązków służbowych na podstawie upoważnienia.

5. Pani/Pana dane osobowe nie będą przekazywane do państwa trzeciego ani organizacji międzynarodowej;

6. Pani/Pana dane osobowe będą przechowywane do czasu zakończenia współpracy lub do czasu cofnięcia przez Pani/Pana zgody.

7. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do przenoszenia danych.

8. Ma Pan/Pani prawo wniesienia skargi do organu nadzorczego- Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.;

9. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednak konieczne w celu realizacji przedmiotu umowy/ jest konieczne w związku z przepisami szczególnymi ustawy (przetwarzanie danych osobowych jest wymogiem ustawowym). W przypadku niewyrażenia zgody na przetwarzanie danych osobowy, Administrator może zrezygnować z zawarcia umowy.

10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania tzn. żadne decyzje wywołujące wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływające nie będą oparte wyłącznie na automatycznym przetwarzaniu danych osobowych i nie wiążą się z taką automatycznie podejmowaną decyzją.