Näin valmistaudut ISO 27001 valvontakäyntiin

ISO 27001 valvontakäynti jännittää monessa organisaatiossa, eikä syyttä. Jos dokumentaatio on hajallaan, vastuut epäselviä ja näyttö käytännön tekemisestä puutteellista, auditointipäivästä tulee helposti kiireinen ja kallis. Usein ongelma ei ole se, ettei asioita olisi tehty, vaan se, ettei niitä pystytä osoittamaan selkeästi.

Tässä artikkelissa käymme läpi, miten valmistaudut ISO 27001 -valvontakäyntiin niin, että tiedät mitä auditoija todennäköisesti kysyy, mitä näyttöä kannattaa kerätä etukäteen ja miten organisoit päivän ilman turhaa sähläystä. Saat sekä taustatiedon että konkreettisen etenemismallin, jota voit soveltaa heti omassa yrityksessäsi.

Mitä ISO 27001 valvontakäynti käytännössä tarkoittaa?

Valvontakäynti on sertifioinnin ylläpitoon liittyvä auditointi, jossa tarkastetaan, että organisaation tietoturvan hallintajärjestelmä toimii edelleen suunnitellusti. Kyse ei siis ole vain siitä, että dokumentit ovat olemassa, vaan siitä, että niitä käytetään, päivitetään ja seurataan arjessa.

Pk-yrityksessä tämä näkyy yleensä hyvin käytännöllisinä kysymyksinä. Auditoija voi pyytää nähtäväksi esimerkiksi riskienarvioinnin, poikkeamien käsittelyn, käyttöoikeuksien hallinnan tai johdon katselmuksen muistiot. Lisäksi hän haluaa usein nähdä, että sovitut käytännöt toteutuvat oikeasti.

Tyypillisesti valvontakäynnillä tarkastellaan ainakin seuraavia asioita:

• onko soveltamisala eli se, mitä ISO 27001 kattaa, edelleen ajantasainen
• onko riskienarviointi päivitetty esimerkiksi 12 kuukauden sisällä tai merkittävän muutoksen jälkeen
• onko sisäinen auditointi tehty suunnitelman mukaan
• onko johto käsitellyt tietoturvan tilaa vähintään 1 kerran vuodessa
• onko poikkeamat, havainnot ja korjaavat toimenpiteet dokumentoitu ja suljettu sovitussa ajassa
• onko valitut kontrollit perusteltu ja toteutettu käytännössä

Missä yritykset yleensä kompastuvat?

Yleisin haaste ei ole yksittäinen puuttuva dokumentti, vaan kokonaisuuden epäjohdonmukaisuus. Riskirekisteri voi olla päivitetty, mutta siitä johdetut toimenpiteet eivät näy tehtävälistoissa. Käyttöoikeusprosessi voi olla kuvattu, mutta poistuneiden työntekijöiden tunnuksia ei ole poistettu 24 tunnin sisällä kuten oma ohje sanoo.

Toinen tyypillinen ongelma on se, että vastaukset ovat yhden henkilön varassa. Jos vain tietoturvavastaava osaa kertoa, miten asiat toimivat, auditoija saa helposti kuvan, ettei toimintamalli ole juurtunut organisaatioon.

Tarkista erityisesti nämä riskikohdat ennen auditointia:

• dokumentissa kuvattu prosessi ei vastaa nykyistä toimintaa
• mittarit on määritelty, mutta niitä ei seurata säännöllisesti
• sisäisen auditoinnin havainnot ovat auki ilman määräaikaa
• henkilöstön tietoturvakoulutuksista ei ole näyttöä viimeisen 12 kuukauden ajalta
• toimittajien arviointi on tehty kerran, mutta ei päivity sopimusmuutosten yhteydessä
• varmuuskopiointi on käytössä, mutta palautustestiä ei ole tehty esimerkiksi viimeisen 6–12 kuukauden aikana

Mitä näyttöä kannattaa kerätä valmiiksi?

Hyvä valmistautuminen tarkoittaa sitä, että keskeinen aineisto löytyy nopeasti yhdestä paikasta. Käytännössä tämä voi olla kansiorakenne, auditointia varten koottu työtila tai järjestelmä, kuten Tietoturvapankki, jossa dokumentit, tehtävät ja seuranta ovat samassa näkymässä.

Ajattele valmistautumista auditoijan näkökulmasta: jos hän kysyy asiasta, pystytkö näyttämään vastauksen 2–5 minuutissa? Jos et, aineisto on todennäköisesti liian hajallaan.

Seuraava taulukko auttaa hahmottamaan, mitä kannattaa kerätä valmiiksi:

Miten organisoit auditointipäivän sujuvasti?

Valvontakäynti onnistuu paremmin, kun päivä on käsikirjoitettu etukäteen. Tämä ei tarkoita vastauksien harjoittelua ulkoa, vaan sitä, että oikeat ihmiset ovat paikalla oikeaan aikaan ja aineisto löytyy ilman viivettä.

Hyvä käytäntö on nimetä yksi pääkoordinaattori ja 2–4 avainhenkilöä, jotka vastaavat omista osa-alueistaan. Pk-yrityksessä nämä roolit ovat usein johto, IT, tietoturvasta vastaava henkilö sekä tarvittaessa HR tai asiakaspalvelu.

Suunnittele vähintään nämä asiat etukäteen:

• auditoinnin aikataulu tuntitasolla
• ketkä osallistuvat avauspalaveriin ja loppupalaveriin
• kuka näyttää dokumentit ja mistä ne löytyvät
• kuka vastaa teknisiin kysymyksiin, kuten lokituksesta tai varmuuskopioista
• miten mahdolliset lisäpyynnöt käsitellään päivän aikana
• missä kirjataan auditoijan havainnot ja jatkotoimet heti ylös

Kysymykset, joihin kannattaa valmistella vastaukset etukäteen

Auditoija ei yleensä etsi täydellisiä vastauksia, vaan johdonmukaista näyttöä siitä, että organisaatio hallitsee tietoturvaansa. Siksi kannattaa valmistella valmiiksi lyhyet, käytännönläheiset vastaukset yleisimpiin kysymyksiin.

Voitte vaikka testata nämä sisäisesti ennen auditointia:

• Miten tunnistatte ja arvioitte tietoturvariskit?
• Milloin riskienarviointi on viimeksi päivitetty?
• Miten varmistatte, että poistuvan työntekijän käyttöoikeudet suljetaan 24 tunnin sisällä?
• Miten henkilöstö koulutetaan tietoturva-asioihin ja missä siitä on näyttö?
• Mitä tapahtuu, kun tietoturvapoikkeama havaitaan?
• Miten johto seuraa tietoturvan tavoitteita ja mittareita?
• Miten arvioitte kriittisiä toimittajia?
• Milloin varmuuskopioiden palautus on viimeksi testattu?

Hyvä vastaus on usein lyhyt ja todennettava. Esimerkiksi: “Poistuvan työntekijän esihenkilö tekee palvelupyynnön, IT sulkee tunnukset saman työpäivän aikana ja kuittaus jää tikettijärjestelmään.” Tämä on paljon vahvempi kuin yleinen toteamus siitä, että “meillä on prosessi”.

Yleisimmät viime hetken korjaukset ennen valvontakäyntiä

Viimeisellä viikolla ei kannata rakentaa koko hallintajärjestelmää uusiksi. Sen sijaan kannattaa keskittyä puutteisiin, jotka vaikuttavat eniten auditoinnin sujuvuuteen ja löydösten määrään.

Tässä käytännöllinen priorisointimalli:

Jos kaikkea ei ehdi korjata, ole avoin. Auditoija arvostaa yleensä enemmän realistista tilannekuvaa ja selkeää korjaussuunnitelmaa kuin kiireessä tehtyä pintaremonttia.

Miten Tietoturvapankki helpottaa valmistautumista?

Monessa pk-yrityksessä suurin haaste ei ole ymmärryksen puute, vaan ajan puute. Kun dokumentit, tehtävät, vastuut ja seuranta ovat eri paikoissa, valvontakäyntiin valmistautuminen vie helposti useita työpäiviä. Silloin myös riski unohtaa jotain olennaista kasvaa.

Tietoturvapankki on rakennettu juuri tähän ongelmaan. Se yhdistää sovelluksen ja asiantuntijatuen niin, että ISO 27001 -hallintajärjestelmän ylläpito ei jää yksittäisten Excelien tai muistilappujen varaan. Kun riskit, toimenpiteet, dokumentit ja auditointinäyttö ovat hallitusti yhdessä paikassa, valvontakäyntiin valmistautuminen muuttuu projektista rutiiniksi.

Jos organisaatiossasi käytetään myös ISO 9001 -mukaista laadunhallintaa, sama ajattelutapa tukee molempia järjestelmiä. Tietoturvapankin taustalla toimivat Softapankki Oy ja QMClouds Oy, ja samaan konserniin kuuluu myös Laatupankki, joka on konsernin laadunhallinnan tuotemerkki.