- Audits gaan meestal mis door ontbrekend bewijs, niet door ontbrekende controles
- Auditors toetsen of een controle daadwerkelijk consistent wordt uitgevoerd, niet alleen of er een beleid voor bestaat
- Auditgereedheid is een doorlopende discipline, geen jaarlijkse voorbereiding
- Een georganiseerd bewijsdossier bespaart tijdens de audit zelf de meeste tijd en stress
- Interne audits gedurende het jaar voorkomen dat hiaten pas tijdens de externe audit aan het licht komen
1. Waarom audits vaker misgaan door bewijs dan door beleid
Bijna elk bedrijf dat een audit doorloopt, heeft al een beveiligingsbeleid, een toegangsbeheerprocedure en een back-upstrategie op papier. Het punt waarop audits misgaan, is bijna altijd het bewijs dat die procedures daadwerkelijk worden nageleefd. Een auditor vraagt niet of er een wachtwoordbeleid bestaat; die vraagt om te zien wanneer het voor het laatst is gecontroleerd, wie de controle heeft uitgevoerd en wat er is gedaan met de uitzonderingen die zijn gevonden.
Deze kloof ontstaat omdat beleid eenmalig wordt geschreven en daarna zelden wordt bijgehouden met het bewijs dat het ook wordt toegepast. Een bedrijf kan een uitstekend toegangsbeheerbeleid hebben en toch geen logboek kunnen tonen van de laatste kwartaalcontrole van gebruikersrechten. Dat gat, niet het ontbreken van het beleid zelf, is wat de meeste auditbevindingen veroorzaakt.
2. Wat auditors daadwerkelijk controleren
Auditors werken doorgaans langs drie lagen: bestaat het beleid, wordt het consistent uitgevoerd, en is er bewijs dat het wordt gemonitord en bijgesteld wanneer het faalt. De meeste bedrijven scoren goed op de eerste laag en zwak op de tweede en derde.
Voor toegangsbeheer betekent dit: bestaat er een beleid (laag 1), wordt toegang daadwerkelijk per rol toegewezen en per kwartaal herzien (laag 2), en is er een logboek van wanneer overtollige toegang is ingetrokken na de laatste controle (laag 3). Elke laag heeft eigen bewijs nodig; beleid alleen dekt slechts een derde van wat wordt getoetst.
Voor patchbeheer betekent dit een patchbeleid, aantoonbare patchcycli met datums en dekkingspercentages, en bewijs van opvolging op systemen die achterlopen. Voor back-ups betekent het een back-upbeleid, geplande back-ups die daadwerkelijk draaien, en periodieke hersteltests die aantonen dat de back-ups bruikbaar zijn wanneer dat nodig is.
3. Behandel auditgereedheid als continu, niet als periodiek
De meest voorkomende reden dat audits stress veroorzaken, is dat bedrijven auditgereedheid behandelen als een project dat drie maanden voor de audit start. Tegen die tijd is het bewijs van de voorgaande negen maanden al onherstelbaar onvolledig; u kunt geen kwartaalcontrole reconstrueren die nooit is uitgevoerd.
De oplossing is elke controle die wordt geaudit, inbedden in een terugkerend ritme met vastgelegd bewijs op het moment dat het gebeurt: een kwartaalcontrole van toegangsrechten die wordt gelogd zodra die is uitgevoerd, een maandelijkse patchrapportage die wordt gearchiveerd, een jaarlijkse hersteltest waarvan de resultaten worden gedocumenteerd. Wanneer de audit uiteindelijk plaatsvindt, is er dan gewoon een verzameling van wat al twaalf maanden lang is gedaan, in plaats van een race om alsnog te reconstrueren wat had moeten gebeuren.
4. Bouw een georganiseerd bewijsdossier op
Een bewijsdossier is een gestructureerde verzameling van alle documentatie die tijdens een audit wordt opgevraagd, georganiseerd per controle in plaats van verspreid over mailboxen, gedeelde schijven en het geheugen van individuele medewerkers. Voor elke controle in het toepasselijke raamwerk, ISO 27001, NIS2 of een klantcontract, bevat het dossier het beleidsdocument, bewijs van de laatste uitvoering, en het logboek van eventuele afwijkingen en de genomen corrigerende maatregelen.
De bedrijven met de rustigste audits zijn niet de bedrijven met de minste bevindingen. Het zijn de bedrijven die binnen twee minuten kunnen vinden wat de auditor vraagt.
Het opzetten van dit dossier kost de eerste keer aanzienlijke tijd, doorgaans enkele weken voor een bedrijf van vijftig tot honderd medewerkers. Zodra het staat, is het onderhoud beperkt: elke keer dat een controle wordt uitgevoerd, wordt het bewijs direct aan het dossier toegevoegd in plaats van pas op audit-tijd te worden verzameld.
5. Voer interne audits uit voordat de externe auditor dat doet
Een interne audit, uitgevoerd door iemand die niet verantwoordelijk is voor de gecontroleerde controle, brengt hiaten aan het licht op een moment dat ze nog rustig kunnen worden opgelost. Bedrijven die pas tijdens de externe audit ontdekken dat hun toegangsbeheerlogboek zes maanden ontbreekt, hebben geen tijd meer om dat te herstellen. Bedrijven die dat drie maanden eerder ontdekken via een interne controle, hebben dat wel.
Een interne audit hoeft niet uitgebreid te zijn. Een checklist die de belangrijkste controles doorloopt, uitgevoerd door iemand met voldoende afstand tot het dagelijkse beheer ervan, twee keer per jaar, vangt de meeste hiaten op ruim voordat een externe auditor ze vindt.
6. Veelvoorkomende hiaten die audits laten mislukken
Bepaalde hiaten komen keer op keer terug bij mkb-bedrijven die voor het eerst worden geaudit. Offboarding van medewerkers waarbij toegangsrechten pas weken na vertrek worden ingetrokken. Wachtwoordbeleid dat op papier bestaat maar technisch niet wordt afgedwongen. Back-uptests die nooit daadwerkelijk zijn uitgevoerd, ondanks een beleid dat ze jaarlijks voorschrijft. Risicobeoordelingen die eenmalig zijn opgesteld bij de eerste certificering en sindsdien niet zijn bijgewerkt ondanks veranderingen in de systeemomgeving.
Offboarding-logboeken, afdwinging van multi-factor authenticatie, recentheid van de risicobeoordeling en bewijs van hersteltests zijn de vier gebieden waar de meeste eerste audits bevindingen opleveren. Een korte controle van deze vier gebieden, ruim voor de audit, vangt het merendeel van de risico's af.
Auditgereedheid als doorlopende discipline
Het verschil tussen een bedrijf dat audits vreest en een bedrijf dat ze als routine beschouwt, zit niet in hoeveel controles ze hebben. Het zit in of het bewijs van die controles al bestaat wanneer erom wordt gevraagd. Dat vraagt om een eigenaar die verantwoordelijk is voor het bewijsdossier, een terugkerend ritme van interne controles, en de discipline om bewijs vast te leggen op het moment van uitvoering in plaats van er achteraf naar te zoeken.
- Bouw een bewijsdossier op per controle, niet verspreid over mailboxen en gedeelde schijven.
- Leg bewijs van uitvoering direct vast op het moment dat een controle plaatsvindt.
- Voer twee keer per jaar een interne audit uit op de belangrijkste controles.
- Controleer specifiek offboarding, multi-factor authenticatie, risicobeoordeling en hersteltests.
- Wijs één eigenaar aan die verantwoordelijk is voor auditgereedheid als doorlopende taak.
Bedrijven zonder aangewezen eigenaar voor deze discipline zien auditgereedheid vaak verwateren tot een jaarlijkse paniek. Het fractionele IT-managementaanbod van Cyvra neemt bewijsdossierbeheer en interne auditplanning op als vaste verantwoordelijkheid, zodat de volgende audit geen verrassing oplevert.
ISO publiceert de volledige ISO/IEC 27001-norm en bijbehorende richtlijnen op iso.org. Het Nationaal Cyber Security Centrum biedt praktische richtlijnen voor beveiligingscontroles op ncsc.nl.