Praca audytora wewnętrznego ISO 27001

Praca audytora wewnętrznego ISO 27001



Praca audytora wewnętrznego to od jakiegoś czasu jedna z ciekawszych ścieżek kariery, przyciągających coraz to nowych kandydatów do ośrodków certyfikacyjnych. Zapotrzebowanie na wyspecjalizowanych audytorów jest dziś duże, gdyż coraz więcej firm uświadamia sobie zalety korzystania ze zgodnych z normą ISO 27001 systemów zarządzania bezpieczeństwem informacji, a co za tym idzie, firmy te poszukują dróg do uzyskania certyfikatów dla wykorzystywanych systemów. Praca audytora jest więc karierą z dużymi perspektywami i korzyściami finansowymi, choć jednocześnie zajęciem niezwykle wymagającym, narzucającym konieczność stałego podnoszenia kwalifikacji wynikających ze zmienności rynku i prawa oraz regularnych zmian w ramach normy ISO 27001. Na czym polega praca audytora wewnętrznego i jakie korzyści niesie za sobą dla firmy?

Jak pracuje audytor wewnętrzny ISO 27001?

Codzienna praca audytora wewnętrznego polega przede wszystkim na poszukiwaniu lepszych metod działania przedsiębiorstw zgodnych z normą ISO 27001 i przynoszących realne i możliwe do utrzymania korzyści finansowe i niematerialne dla firmy.

Audyt wewnętrzny przeprowadzany na początku procesu wdrażania systemu zarządzania bezpieczeństwem informacji zgodnego z odpowiednią normą ma na celu kontrolę stanu obecnego systemu w zestawieniu z normą oraz oszacowanie luk systemowych wymagających poprawy pod kątem lepszego zarządzania danym obszarem.

Wdrażanie nowych rozwiązań w celu certyfikacji ISO 27001 nie polega bowiem na tym, by zupełnie odwrócić strategię działania firmy, a raczej bazując na obecnym stanie rzeczy stworzyć taki system zarządzania, który w zgodzie z filozofią i celami marki będzie pomagał rozwijać się jej w kierunku uzyskania certyfikatu zgodności systemu zarządzania bezpieczeństwem informacji z normą ISO 27001.

Zagadnienia, z jakimi na co dzień zmaga się audytor wewnętrzny ISO 27001 to między innymi wszelkie kwestie finansowe, organizacja pracy, a także kwestie zasobów ludzkich. Można więc powiedzieć, że zgodnie z założeniami normy, audytor kontroluje wszelkie aspekty zarządzania bezpieczeństwem informacji.

Choć audytor wewnętrzny jest zwykle pracownikiem długofalowo zatrudnionym w danej firmie i doskonale zaznajomionym z procesami jej działania, zadania audytora wewnętrznego są według definicji działaniami niezależnymi i obiektywnymi, a ich celem jest zwiększenie wymiernych korzyści działania firmy. Jego rola w firmie sprowadza się do prowadzenia regularnych przeglądów, kontroli i oceny czynników składających się na system zarządzania bezpieczeństwem informacji oraz spisywania wniosków, które następnie posłużą jako wsparcie dla firmy w procesie udoskonalania i poprawy kierunku działania.

Obszary audytu wewnętrznego i pracy audytora

Specyficzne zadania audytora wewnętrznego ISO 27001 są w dużej mierze uzależnione od obszaru, którego będzie dotyczył audyt. Wyróżniamy tu między innymi audyt operacyjny, podczas którego badana jest efektywność wykorzystania zasobów, audyt informatyczny, audyt zgodności, sprawdzający przestrzeganie procedur oraz zrozumiałość ich formy, oraz audyt finansowy. Każdy z wymienionych obszarów jest składową systemu zarządzania bezpieczeństwem informacji i jego prawidłowe działanie, zgodne z wytycznymi normy ISO 27001, jest podstawą do uzyskania i utrzymania certyfikatu.

Praca audytora wewnętrznego ISO polega na sprawowaniu nadzoru nad dokumentacją związaną z systemem zarządzania bezpieczeństwem informacji, w tym wszelką dokumentacją stworzoną podczas procesu wdrażania i stosowania nowego systemu, nadzoru nad procesami i działaniami prowadzonymi na terenie danej firmy, przeprowadzanie okresowych audytów wewnętrznych sprawdzających funkcjonowanie systemu zarządzania bezpieczeństwem informacji, analiza systemu i polityki zarządzania bezpieczeństwem informacji w firmie, oraz ogólne ocenianie i analizowanie problemów występujących w ramach systemu zarządzania.

Można tym samym stwierdzić, że niezależnie od wybranego w danym okresie obszaru poddawanego audytowi, praca audytora sprowadza się do weryfikacji pierwotnych założeń firmy ze stanem faktycznym systemu zarządzania bezpieczeństwem informacji na poszczególnych stanowiskach oraz czy działania prowadzone przez firmę w obrębie danego obszaru są zgodne z normą oraz polityką bezpieczeństwa przedsiębiorstwa.

Audytor wewnętrzny, który zauważy nieprawidłowości i niedociągnięcia służy również jako doradca w kwestiach zmian, jakie muszą zostać wprowadzone w celu poprawy systemu i tym samym utrzymania najwyższego standardu pracy zgodnego z norma ISO 27001, który w rezultacie jest jedną z istotniejszych przyczyn rozwoju działalności.