Beheersgebieden van ISO/IEC 27001
Auditcriteria voor overeengekomen onderwerpen op het gebied van informatiebeveiligingsmanagement en beheersmaatregelen; geen certificering.
IT-audits
IT-beveiligingsaudits
Een afgebakende audit vergelijkt gedocumenteerde en in de praktijk toegepaste beheersmaatregelen met overeengekomen criteria. De audit brengt tekortkomingen en verbeterprioriteiten in kaart, maar leidt op zichzelf niet tot certificering.
Scope van de beoordeling
Wat wordt getest
De definitieve testdekking wordt overeengekomen bij het vaststellen van de scope en is beperkt tot systemen waarvoor schriftelijke toestemming is verleend.
Beveiligingsgovernance en eigenaarschap van bedrijfsmiddelen
Identiteits- en toegangsbeheer
Veilige configuratie en wijzigingsbeheer
Kwetsbaarheden- en patchbeheer
Logging, monitoring, back-up en herstel
Processen voor leveranciersbeheer, incidentbeheer en continuïteit
Opdrachtverloop
Gecontroleerd van toestemming tot hertest.
01
Scope & autorisatie
Leg doelstellingen, goedgekeurde systemen, beperkingen, testvensters, contactpersonen en uitvoeringsafspraken vast.
02
Verkenning
Stel het aanvalsoppervlak waarvoor toestemming is verleend, de architectuur, gebruikersrollen, bedrijfsmiddelen en toepasselijke beoordelingscriteria vast.
03
Gecontroleerd testen
Beoordeel de goedgekeurde scope met handmatige en technische methoden die passen bij de omgeving.
04
Validatie
Bevestig bevindingen op veilige wijze, sluit foutpositieven uit en stel de daadwerkelijke technische en bedrijfsmatige impact vast.
05
Rapportage
Ontvang bevindingen onderbouwd met bewijs, risicobeoordelingen, een managementsamenvatting en herstelprioriteiten.
06
Beoordeling van herstelmaatregelen
Bespreek voorgestelde corrigerende maatregelen en verduidelijk de implementatieprioriteiten met het beoordelingsteam.
07
Hertest
Verifieer overeengekomen herstelmaatregelen en leg voor elke geteste bevinding vast of deze is opgelost, verminderd of nog openstaat.
Referenties voor de beoordeling
Sectornormen en richtlijnen
CIS Controls
Geprioriteerde beveiligingsmaatregelen en beoordeling van bewijsmateriaal voor technische en operationele beheersmaatregelen.
NIST Cybersecurity Framework
Context voor risico's en capaciteiten binnen Govern, Identify, Protect, Detect, Respond en Recover.
CIS Benchmarks
Configuratiecriteria voor geselecteerde systemen, voor zover deze binnen de scope vallen.
Normen vormen de leidraad voor de scope en testdekking. Een beoordeling vormt op zichzelf geen certificering en garandeert geen naleving.
Rapportage
Wat u ontvangt
Verklaring van de auditscope en auditcriteria
Met bewijs onderbouwde bevindingen
Register van tekortkomingen in beheersmaatregelen en risico's
Geprioriteerd verbeterplan
Briefing voor het management en aansluitende evaluatie
Bepaal een passende testscope.
Bespreek de systemen, doelstellingen, het toegangsniveau en het vereiste bewijsmateriaal met DIGITPOL.