Hyvää auditointikautta! Näin läpäiset auditoinnin ja saat sertifioinnin

Usein sertifioituminen on ainoa vaihtoehto, esimerkiksi ISO27001:2013- tai ISAE/SOC-sertifiointi. Yritykset voivat pyytää näitä sertifikaatteja varmistuakseen sitoutumisestasi tietoturvaan.

Sertifikaattien saaminen edellyttää erilaisten tietoturva-auditointien läpäisemistä. Ne voivat aiheuttaa stressiä ja hämmennystä paitsi tietoturvatiimissä myös koko organisaatiossa.

Valmistautuessamme auditointeihin täällä Eficodella opimme ja kehitymme jatkuvasti. Jos sinäkin organisaatiosi kanssa tavoittelet sertifiointia, jaamme tässä blogikirjoituksessa tärkeimpiä oppejamme sekä auditointiin valmistautumisesta että itse auditointitilanteesta.

Opi muilta ja selviydy auditoinneista kevyemmin.

Aloitetaan siitä, mitä voit tehdä ennen auditointia.

Auditointiin valmistautuminen

Kun saimme päätökseen uusimman ISO27001-sertifikaattimme seuranta-auditoinnin, päättyi samalla vuoden mittainen iteroinnin ja kehittämisen prosessi. Se rakentui viime vuoden havaintojen pohjalta ja jatkuu tänä vuonna käytyjen keskustelujen myötä.

ISO27001-auditointiin valmistautuminen muistuttaa pohjimmiltaan taikashow’hun valmistautumista. Käytät vuoden työskentelyyn, valmisteluun, hiomiseen ja harjoitteluun. Sinun on asetuttava yleisösi asemaan ja pohdittava, mitä odotat heidän kysyvän ja miten odotat heidän reagoivan.

Oppi 1: Aloita pienestä ja laajenna

Auditoinnin laajuuden valintaan on kaksi lähestymistapaa.

Ensimmäinen on suurisilmäinen haave: ”auditoidaan kaikki”. Se on kaunis ihanne ja olisi tietysti täydellisessä maailmassa paras toimintatapa. Pienessä yrityksessä se voi olla jopa mahdollista, vaikka auditoinnin vaatima valtava dokumentaatiomäärä kuormittaisi muitakin kuin kaikkein sitoutuneimpia pieniä yrityksiä.

Toinen lähestymistapa ottaa huomioon liiketoiminnan realiteetit. Auditointi on huomattavasti helpompi kohdistaa ensin pienempään osaan liiketoimintaa ja laajentaa sen kattavuutta seuraavina vuosina muuhun organisaatioon. Tämä toimi meillä Eficodella erittäin hyvin: aloitimme sertifioimalla Suomen toimipisteemme (joissa pääkonttorimme sijaitsee) ja verkkopalvelumme, minkä jälkeen laajensimme kattavuutta seuraavina vuosina.

Kuten kaikissa suurissa muutoksissa, pienempiä askeleita on helpompi ottaa kuin yrittää hoitaa kaikki yhdellä jättiloikalla.

Oppi 2: Liiallista valmistautumista ei ole olemassa

Sertifikaatin ylläpitoon liittyvä työ painottuu vahvasti valmisteluvaiheeseen. Arvioimme valmistelun ja auditoinnin työmäärän suhteeksi 40:1. Jokaista auditointiin käytettyä tuntia kohden tähän tiedonkeruun ja viimeistelyn vaiheeseen kuluu neljäkymmentä tuntia.

Valmistelu tarkoittaa siis valtavaa työmäärää, johon osallistuu lähes tusina henkilöä tuottamaan tarvittavan dokumentaation ja sitä tukevan näytön. Siksi voi tuntua lannistavalta, kun saat kysymyksen, johon et ole valmistautunut.

Yksinkertainen totuus on, että kun keskityt sertifiointisi tiettyihin vaatimuksiin, reuna-alueille jää väistämättä katvealueita.

Auditoinnin aikana saat varmasti kysymyksen, johon et ole valmistautunut. On tärkeää ymmärtää, etteivät tällaiset kysymykset ole maailmanloppu. Valmistautumisessa tehtäväsi on vähentää niiden kysymysten määrää, joihin et pysty auditointipäivänä vastaamaan täysin – ei poistaa niitä kokonaan.

Näistä alueista tulee seuraavan auditoinnin havaintoja, ja auditoijat etsivät parannuksia. Varmista siis, että valmistelet vastaukset seuraavaa kertaa varten.

Oppi 3: Pura tietoturvasiilot

Tietoturvalla on yrityksissä usein hieman omalaatuinen asema. Se kulkee omalla rinnakkaisella radallaan ja kohtaa yrityksen keskeiset toiminnot eri kohdissa. Siksi tietoturvan parissa suoraan työskentelemättömille se voi joskus tuntua abstraktilta. Ikään kuin tietoturvatoiminto olisi ulkopuolinen ja toimisi huomaamattomasti, kunnes jokin näistä kohtaamisista tapahtuu.

Koska yrityksen tietoturvatoiminnot voivat vaikuttaa tietoturvan ulkopuoliselle henkilöstölle mysteeriltä, auditointiin valmistautuminen on erinomainen tilaisuus esitellä nämä kontrollit ihmisille. Juuri valmisteluvaiheessa näitä kontrolleja tarkastellaan kriittisesti.

Kun tietoa avataan useammille ihmisille eri tiimeissä, voi päätyä poluille, joita ei olisi koskaan tullut ajatelleeksi.

Tällaiset epäviralliset ”tietoturvalähettiläät”, jotka välittävät tietoa eteenpäin, voivat viedä tietoturvan sisäpiirin näkökulman takaisin omiin tiimeihinsä. He voivat pohtia oppimaansa ja parantaa yrityksen tietoturvaa ruohonjuuritasolla.

Kun auditoinnin aika koittaa, käytössäsi on arvokkaita tiimin jäseniä, jotka tuntevat oman tiiminsä toimintatavat läpikotaisin ja ymmärtävät auditointiprosessia hyvin.

Auditoinnin aikana

Kun olet valmistautunut, aivan kuten taikashow’ssa, kaikki ratkeaa suoritukseesi itse tilaisuuksissa. On kuitenkin yksi ongelma:

Varsinainen auditointi ei muistuta lainkaan taikashow’ta.

Auditoijat eivät ole tavallinen yleisö. He eivät pysy paikoillaan. He haluavat kurkistaa lavan alle ja kaikkien verhojen taakse, tarkistaa lukkosi, tutkia avaimesi ja taputtaa avustajasi läpi. He eivät halua hämmästyä tai yllättyä, vaan kysyvät suoraan, miten kaikki temppusi tehdään.

He ovat pahin mahdollinen yleisösi ja poikkeuksellisen taitavia löytämään puutteita. Esityksesi ei nimittäin ole ensimmäinen, jonka he ovat nähneet.

• He tuntevat pimeät nurkat, joihin muut ovat saattaneet piilottaa asioita, joiden eivät halua tulevan ilmi.

• He ovat nähneet teatterin karutkin kohdat, jotka ovat ehkä jääneet huomaamatta.

• He tarkastelevat tuorein silmin jotain, mitä olet käynyt läpi jo kuukausia, ja ovat poikkeuksellisen taitavia tuomaan esiin sokeat pisteet, joita sinulle on voinut syntyä pitkän keskittymisen aikana.

Mutta aivan kuten valmistautumisvaiheessa, olemme koonneet kolme prosessin aikana oppimaamme asiaa, joista toivomme olevan apua sinullekin.

Oppi 4: Vältä vastakkainasettelua

Sana ”auditointi” hermostuttaa ihmisiä. Eikä se ole yllättävää: auditoinnin tarkoitus on varmistaa, että toimit oikein. Määritelmän mukaan vastakohta on siis se, että toimit väärin, ja ajatus virheistä saa ihmiset puolustuskannalle.

Tärkeintä sujuvan auditoinnin varmistamiseksi on päästä eroon tästä vastakkainasettelusta. Auditoijat eivät ole vihollisiasi. He ovat toki paikalla tarkastamassa työtäsi, mutta jos työ on tehty ylpeydellä ja suhtaudut rakentavaan palautteeseen avoimesti, auditoijat on paljon helpompi kohdata vertaisina.

Kun pystyt näkemään auditoijat näin, et enää istu pöydän toisella puolella ihmistä vastapäätä, jonka tehtävä on tuomita. Sen sijaan seisotte kaikki esteen samalla puolella ja pohditte: ”Miten ylitämme tämän?”

Käytännön vinkki heti käyttöön: istu auditoijien kanssa pöydän samalle puolelle.

Oppi 5: Ota parhaat osaajasi mukaan ja anna heidän loistaa

Yksi tietoturvan supertähti voi vastata kaikkiin kysymyksiin jokaisen osaston puolesta. Yrityksen kasvaessa tämä käy kuitenkin yhä epätodennäköisemmäksi. On tärkeää tietää, kuka osaa kertoa kunkin osaston tietoturvasta ja käytännöistä.

Tämä on paljon helpompaa yrityksessä, jossa tietoturva huomioidaan ja otetaan käyttöön heti alusta lähtien. Näille yrityksille tietoturva on kuin juustoa täytetyllä reunalla varustetussa pizzassa. Eficodella tietoturva leivotaan suoraan taikinaan (anteeksi juustoinen vertaus).

Tämän lähestymistavan hyödyt ovat merkittävät:

Se muuttaa tietoturvapäällikön roolin kaikkien osastojen asioiden kattamisesta orkesterin kapellimestariksi. Hän tietää, mitkä soittimet tulevat mukaan ja milloin – myös silloin, kun auditoijat vaihtavat nuottia tai alkavat improvisoida kokonaan.

Näin tietoturvapäällikkö varmistaa, että auditointi etenee sujuvasti dokumentaation, henkilöstön ja esittelyjen sarjana, joka tyydyttää vaativimmankin auditoijan.

Oppi 6: Varaudu kokoamaan joukot.

On aika kertoa ikävä totuus: saat huomautuksia.

Valmistauduitpa kuinka hyvin tahansa, jotain jää aina huomaamatta.

Tämä ei koskaan ole maailmanloppu. Varmista, että ihmiset ovat valmiita reagoimaan kaikkiin saamiisi kommentteihin. Hyödynnä auditoinnin jälkeinen korjausaika osoittaaksesi auditoijille sitoutumisesi tietoturvaan. Suhtaudu saamiisi huomautuksiin ja poikkeamiin mahdollisuutena oppia ja kehittyä tulevia auditointeja varten.

Yhteenveto

Auditointiin voi suhtautua kahdella tavalla. Voit pitää auditoijia vihollisina, toimia puolustuskannalla ja yrittää peitellä tai ohjata heidän huomionsa pois havaituista puutteista. Vaikka onnistuisitkin läpäisemään auditoinnin, et silloin hyödynnä tilaisuutta oppia ja kehittyä.

Tai voit käyttää auditointia mahdollisuutena näyttää osaamisesi. Voit tuoda esiin taitosi ja tietosi, näyttää kaiken sen veren, hien, kyynelten ja kahvin, joka ISMS:ään on käytetty, sekä hyödyntää auditoijien asiantuntemusta laatiaksesi tehtävälistan ensi vuotta varten vahvistettavista heikkouksista.

Arvaatko, kumman lähestymistavan valitsimme?