Какво включва ISO одитът на една организация

Въпросът какво включва ISO одит обикновено възниква, когато организацията вече има внедрен стандарт, подготвя се за сертификация или трябва да докаже пред клиент, партньор или регулатор, че контролите ѝ работят. Одитът не е формално преглеждане на папка с процедури. Той проверява дали заявените правила се прилагат в реалната работа, дали рисковете са управлявани и дали има проследими доказателства за това.

При стандарти като ISO 9001, ISO 27001 или ISO 22301 фокусът е различен, но логиката остава една и съща: организацията трябва да покаже, че управлява процесите си системно, измерва резултатите и коригира откритите слабости. За компании, които обработват лични данни, поддържат критични информационни системи или работят с договорни изисквания за сигурност, това има пряко оперативно значение.

Каква е целта на ISO одита

ISO одитът оценява съответствието между изискванията на приложимия стандарт, вътрешните правила на организацията и действителното изпълнение. Одиторът не следва предварително написан сценарий, в който всеки документ автоматично носи положителен резултат. Той търси обективни доказателства: записи, регистри, отчети, настройки на системи, интервюта със служители, резултати от проверки и действия след инциденти.

Одитът може да бъде вътрешен, клиентски или сертификационен. Вътрешният одит се извършва от самата организация или от външен експерт по нейно възлагане и служи за ранно откриване на пропуски. Клиентският одит е част от проверката на доставчик, особено при възлагане на IT услуги, обработване на данни или управление на критична инфраструктура. Сертификационният одит се извършва от акредитиран сертифициращ орган и може да доведе до издаване или подновяване на ISO сертификат.

Какво включва ISO одитът на практика

Обхватът зависи от стандарта, дейността и границите на системата за управление. ISO 27001 например разглежда управлението на информационната сигурност, докато ISO 9001 поставя акцент върху качеството и удовлетвореността на клиента. Въпреки това добре проведеният одит обикновено преминава през няколко свързани области.

Обхват, контекст и отговорности

Първо се проверява какво точно обхваща системата за управление. Това включва организационните звена, локациите, услугите, информационните системи и външните доставчици, които са в обхвата на стандарта. Неясният обхват е честа причина за проблеми, защото може да остави критични процеси извън контрола на системата.

Одиторът разглежда и контекста на организацията: кои са заинтересованите страни, какви договорни и нормативни изисквания съществуват, кои рискове засягат бизнеса. При ISO 27001 това може да включва изисквания по GDPR, NIS2 или секторни правила. При организации от финансовия сектор или техни доставчици следва да се отчете и връзката с DORA.

Проверяват се ролите и отговорностите. Не е достатъчно в политиката да е записано кой отговаря за информационната сигурност, качеството или непрекъсваемостта. Одиторът търси доказателство, че тези хора имат възложени задачи, нужната компетентност и реална възможност да изпълняват контролните си функции.

Политики, процедури и контролирана документация

Документацията е важна, но не защото ISO изисква самоцелна бюрокрация. Тя показва как организацията е решила да управлява конкретен риск или процес и позволява това решение да бъде повторяемо и проверимо.

В зависимост от стандарта одитът може да обхване политики за информационна сигурност, управление на достъпа, архивиране, работа с доставчици, реакция при инциденти, управление на промени, обработване на лични данни, обучение на служители и бизнес непрекъсваемост. Проверява се дали документите са актуални, одобрени, достъпни за правилните хора и подлежат на контрол при промяна.

Тук се вижда разликата между документ, написан за сертификация, и работеща система. Ако процедурата предвижда преглед на правата за достъп на всеки шест месеца, трябва да има записи кога е направен прегледът, кой го е извършил и какви действия са предприети при открити несъответствия.

Оценка и третиране на риска

Управлението на риска е централен елемент при повечето ISO системи, а при ISO 27001 е основата, върху която се определят мерките за защита. Одиторът преглежда методологията за оценка, регистъра на рисковете, критериите за приемлив риск и плановете за третиране.

Важен е не само списъкът с рискове, а връзката му с реалната среда. Например рискът от криптиране на файлов сървър чрез рансъмуер следва да има конкретни контроли: защитени крайни устройства, ограничени административни права, наблюдение, резервни копия и тествано възстановяване. Ако организацията посочва резервно копиране като мярка, одиторът може да поиска информация за честота, място на съхранение, защита на копията и резултати от тестове за възстановяване.

Не всеки риск трябва да бъде елиминиран. Част от тях могат да бъдат приети, прехвърлени чрез договор или застраховка, или ограничени с технически и организационни мерки. Критичното е решението да е обосновано, одобрено от компетентно ниво и проследимо.

Реално изпълнение на технологичните и организационните мерки

Тази част често е най-показателна при одити на системи за информационна сигурност. Одиторът сравнява описаните контроли с действителната среда: активни потребителски акаунти, права за достъп, настройки за многофакторна автентикация, антивирусна или EDR защита, криптиране, управление на уязвимости, логове и резервни копия.

Проверката не означава, че одиторът извършва пентест. Той оценява дали организацията управлява сигурността по установения от нея процес и дали контролите дават достатъчно доказателства за работа. При малка фирма е разумно част от дейностите да бъдат възложени на външен IT и киберсигурност партньор. В такъв случай одитът ще разгледа и договора, нивата на услугата, отговорностите, отчетите и контрола върху доставчика.

За Буллсофт практическата подготовка за ISO одит свързва именно тези две страни: техническите мерки за защита и възстановяване на данни с регистрите, процедурите и отчетността, чрез които организацията може да докаже тяхното прилагане.

Компетентност, осведоменост и интервюта

Служителите са част от одитната картина. Одиторът може да разговаря с ръководители, системни администратори, служители от човешки ресурси, търговски екипи или хора, които обработват чувствителна информация. Целта не е да се изпитва персоналът по текста на стандарта, а да се разбере дали хората познават своите отговорности.

Например служител, който получава подозрителен имейл, трябва да знае как да го докладва. Ръководител на процес следва да разбира какъв е редът при промяна, инцидент или открито несъответствие. Обученията са полезни само ако са свързани с реалните рискове и са документирани с присъствие, съдържание и при необходимост оценка на знанията.

Одитни доказателства и извадков подход

ISO одиторът рядко проверява всеки запис, всеки служител или всяко устройство. Той работи с извадки. Това означава, че единичен пропуск може да разкрие системен проблем, а добре поддържаните доказателства позволяват по-бърза и ясна проверка.

Полезни доказателства са регистри на активи и рискове, протоколи от ръководни прегледи, отчети за резервни копия, записи от тестове за възстановяване, журнал на инциденти, оценки на доставчици, резултати от вътрешни одити и коригиращи действия. Форматът няма решаващо значение – той може да бъде специализирана система, контролирана електронна среда или добре организиран регистър. Значение има точността, актуалността и възможността информацията да се проследи.

Несъответствия, наблюдения и коригиращи действия

В края на одита констатациите се обсъждат с ръководството и отговорните лица. Не всяка забележка е критично несъответствие. Възможно е одиторът да отчете наблюдение или възможност за подобрение, когато контролът работи, но има риск да стане неефективен.

При несъответствие организацията трябва да анализира причината, а не просто да поправи видимия симптом. Ако липсва отчет от тест за възстановяване, решението не е единствено да се направи тест непосредствено преди следващия одит. Нужно е да се установи защо контролът не е изпълнен: неясна отговорност, липса на график, недостатъчен капацитет или отсъствие на управленски контрол. След това се определят действия, срокове, отговорници и доказателства за приключване.

Как да се подготвите без формална подготовка в последния момент

Най-рисковият подход е подготовката да започне седмица преди одита. Тогава обикновено се създават документи, които не отразяват реалната работа, а липсва време за проверка дали технологичните мерки функционират.

По-надеждният подход е системата да се управлява през цялата година. Това означава редовен преглед на рисковете, вътрешен одит, контрол на доставчиците, актуализиране на документацията при промяна и периодично тестване на критични сценарии – включително възстановяване след загуба на данни или киберинцидент. Подготовката може да е по-лека при малка организация, но не бива да бъде формална.

Най-полезният резултат от ISO одита не е самият сертификат на стената. Той е увереността, че при инцидент, проверка или важна клиентска сделка организацията може да покаже работещи процеси, защитени данни и ясна отговорност за следващото действие.