Interne Audit

NEN7510:2017

Ben je de afgelopen maanden druk bezig geweest met de implementatie van NEN7510, of heeft u een NEN-abonnement bij ons afgesloten? Dan kunt u het resultaat laten beoordelen middels een interne audit. Hiermee toetsen wij (deels bij u op locatie) of uw informatiebeveiligingssysteem goed is ingevoerd en voldoet aan de NEN7510 norm, wetgeving, cliënteisen en/of eisen van uw organisatie. Wij stellen een auditplan op, toetsen of het IBMS voldoet aan de norm en leggen bevindingen en verbeteringen vast in een auditrapportage. 

Een interne audit wordt altijd uitgevoerd door een gecertificeerde auditor (GA) van stichting Privacyzorg. Middels een dergelijke audit kan een zorginstelling aantoonbaar maken dat ze voldoet aan specifieke normeisen en wet- en regelgeving. De interne audit is de laatste stap uit ons NEN7510 stappenplan en een wordt bij positief resultaat afgerond met een Verklaring van Compliancy.

De NEN7510 audit bestaat uit twee fasen, die hieronder verder worden toegelicht:

Fase 1: vooronderzoek

In deze fase vindt het vooronderzoek plaats, waarbij voornamelijk het Informatie Beveiliging Management Systeem (IBMS) wordt onderzocht en wordt gekeken of de (verplichte) beleidsdocumenten zijn opgesteld en aantoonbaar geïmplementeerd zijn.

Documentatie die in fase 1 van belang is:

• De contextanalyse, risicoanalyse en bijbehorende beheersmaatregelen. De maatregelen dienen geïmplementeerd te zijn en de werking hiervan wordt getoetst in fase 2 van de audit;
• De scope van het Informatie Beveiliging Management Systeem (IBMS);
• De verklaring van toepasselijkheid (VVT);
• (Verplichte) beleidsdocumenten vanuit de norm;
• Fysieke beveiliging;
• Processen en informatiestromen;

Aan het einde van fase 1 stelt de auditor vast of de organisatie gereed is voor fase 2.

Fase 2: audit

In deze fase vindt de feitelijke audit plaats. De auditor komt enkele uren op bezoek bij uw organisatie en onderzoekt of u de vastgestelde acties die (mogelijk) uit fase 1 naar voren zijn gekomen heeft uitgevoerd en kijkt naar hoe deze zijn opgelost. Ook wordt onderzocht hoe de beheersmaatregelen geïmplementeerd zijn. Er worden daarvoor o.a. interviews met een aantal medewerkers gehouden om te verifiëren of beleid, procedures en werkinstructies overeenkomen met de manier van werken.

Documentatie die in fase 2 van belang is:

• Het complete Informatie Beveiliging Management Systeem (IBMS);
• Alle vastgestelde beheersmaatregelen;
• Het bewustzijn op het gebied van informatiebeveiliging van alle medewerkers;
• Naleving van beleidsdocumenten en contractuele eisen vanuit wet- en regelgeving (denk aan Wgbo/Wbsn-z/Wkkgz).