כיצד פועלת ביקורת ההסמכה של ISO 27701:2025?
ביקורת ההסמכה לתקן ISO 27701:2025 פועלת לפי אותה גישה דו-שלבית המשמשת לכל תקני מערכת הניהול של ISO. הבנת מה כרוך בכל שלב מסירה את אי הוודאות ומאפשרת לכם להתכונן בביטחון.
התהליך מתבצע על ידי גוף הסמכה מוסמך , ומטרת המבקרים אינה לתפוס אתכם - אלא לאשר שמערכת ניהול המידע והפרטיות (PIMS) שלכם עומדת בדרישות התקן ופועלת ביעילות בפועל.
שלב 1: סקירת תיעוד
שלב 1 נקרא לעיתים "סקירת מוכנות". המבקר מעריך האם התיעוד ועיצוב מערכת הניהול שלכם מספיקים כדי לעבור לשלב 2. שלב זה מתבצע בדרך כלל מרחוק, אם כי חלק מגופי ההסמכה עשויים לבקר באתר.
במהלך שלב 1, יבחן רואה החשבון:
- היקף ה-PIMS שלך ו הצהרת תחולה
- מדיניות פרטיות, מטרות ומתודולוגיה להערכת סיכונים
- השמיים דרישות מערכת הניהול (סעיפים 4-10) וכיצד התייחסת אליהם
- תוכנית הביקורת הפנימית שלך ורישומי סקירת ההנהלה
- הוכחה לכך שמערכת ה-PIMS שלכם פעלה במשך תקופה מספקת (בדרך כלל לפחות שלושה חודשים)
המבקר יפיק דוח שלב 1 ובו יזהה כל תחומי דאגה. אלה אינם אי התאמות רשמיות, אך הם מאותתים על תחומים הדורשים תשומת לב לפני שלב 2.
שלב 2: הערכת יישום
שלב 2 הוא הביקורת העיקרית. הוא מאשר שמערכת ה-PIMS שלכם לא רק מתועדת, אלא גם מיושנת ואפקטיבית. שלב 2 מתבצע באתר או באמצעות שילוב של מפגשים באתר ומפגשים מרחוק, בהתאם לגוף ההסמכה ולמבנה הארגוני שלכם.
רואה החשבון יבצע את הפעולות הבאות:
- ראיון עם עובדים בתחומים שונים כדי לוודא מודעות והבנה
- דוגמאות לראיות ליישום בקרות (מדיניות, נהלים, רשומות, תצורות מערכת)
- הערכת האם הסיכונים זוהו וטופלו כראוי
- הערך את האפקטיביות של שלך נספח א' בקרות פרטיות
- בדקו פעולות מתקנות מביקורת הפנימית שלכם ומסקירת ההנהלה
מה בעצם מחפשים רואי חשבון?
מבקרים מעריכים את מערכת ניהול הפרטיות (PIMS) שלכם מול דרישות ISO 27701:2025 . אך מעבר לתאימות פשוטה, הם מחפשים ראיות לכך שמערכת ניהול הפרטיות שלכם משולבת באמת באופן פעולת הארגון שלכם.
תחומים מרכזיים בהם מתמקדים רואי החשבון כוללים:
| אזור | מה בודק המבקר | ראיות שהם מצפים להן |
|---|---|---|
| מחויבות מנהיגותית | האם ההנהלה הבכירה מעורבת באופן פעיל בניהול הפרטיות? | פרוטוקולי סקירת הנהלה, החלטות הקצאת משאבים, יעדי פרטיות |
| הערכת סיכונים | האם סיכוני פרטיות מזוהים, מוערכים ומטופלים באופן שיטתי? | רישום סיכונים, תוכנית טיפול בסיכונים, קריטריונים לקבלת סיכונים |
| בקרות תפעוליות | האם בקרות נספח א' מיושמות ופועלות? | רישומי נהלים, תצורות מערכת, רישומי הדרכה |
| ניטור ומדידה | האם אתם מודדים האם הבקרות יעילות? | מדדי ביצועים (KPI), רישומי אירועים, תוצאות ביקורת, ניתוח מגמות |
| שיפור מתמשך | האם אי התאמות מטופלות והלקחים נלמדים? | רישומי פעולות מתקנות, תוצרי סקירות הנהלה, תוכניות שיפור |
מבקרים משתמשים בדרך כלל בגישת דגימה. הם לא יבדקו כל בקרה או יראיינו כל חבר צוות, אך הם יבחנו מספיק ראיות כדי לגבש מסקנה סבירה לגבי יעילות מערכת ה-PIMS שלכם.
התחל את תקופת הניסיון בחינם
רוצה לחקור?
הירשם לגרסת הניסיון החינמית שלך עוד היום וקבל יד על כל תכונות התאימות שיש ל-ISMS.online להציע
כיצד כדאי להכין את הצוות שלך לביקורת?
המקור הנפוץ ביותר לממצאי ביקורת אינו תיעוד לקוי - אלא צוות שאינו מודע למדיניות ולנהלים החלים על תפקידיו. הכנת הצוות שלכם חשובה לא פחות מהכנת הראיות שלכם.
לפני הביקורת
- תדרוך לכל הצוות שעשוי להתראיין. עליהם להבין את היקף PIMS, את תפקידם בתוכו, והיכן ניתן למצוא מדיניות רלוונטית.
- בצע ביקורת מדומה. הדמיית גישת המבקר על ידי ראיונות עם הצוות ודגימת ראיות. פעולה זו מזהה פערים לפני שהביקורת האמיתית עושה זאת.
- לאשר ראיות נגישות. רואי חשבון לא צריכים להמתין בזמן שמישהו מחפש רשומות. ארגנו חבילות ראיות לפי סעיפים ובקרה.
- למנות איש קשר לביקורת. למנות אדם אחד לתיאום לוגיסטיקה, קביעת ראיונות ולטפל בפניות של רואי חשבון.
במהלך הביקורת
- ענה על השאלה שנשאלה. הימנעו מנדב מידע מעבר למה שהמבקר מבקש.
- היה כן. אם תהליך אינו מיושם במלואו, יש לומר זאת. רואי חשבון מעריכים שקיפות הרבה יותר מאשר התחמקות.
- לספק ראיות בהקדם. הכינו רשומות, צילומי מסך, גישה למערכת ומסמכים עבור האזורים המוערכים.
- לרשום הערות. תיעוד תצפיות ושאלות של המבקר - אלו מהווים קלט בעל ערך לשיפור לאחר הביקורת.
ISMS.online מקלה משמעותית על ההכנה לביקורת על ידי שמירה על כל המדיניות, הבקרות, הערכות הסיכונים, הראיות ורישומי הביקורת במקום אחד. כאשר המבקר מבקש ראיות, ניתן לנווט ישירות לרשומה הרלוונטית במקום לחפש בכוננים משותפים וגליונות אלקטרוניים.
מהם ממצאי הביקורת הנפוצים ביותר?
הבנת ממצאים נפוצים עוזרת לך לטפל בהם לפני הגעת המבקר. רבים מהם חופפים לטעויות יישום נפוצות . אלו הן הבעיות שגופי ההסמכה מדווחים עליהן בתדירות הגבוהה ביותר:
| מציאה | למה זה קורה | איך להימנע מכך |
|---|---|---|
| הערכת סיכונים לא שלמה | סיכוני פרטיות מטופלים בנפרד מסיכוני אבטחת מידע, או שלא כל פעילויות העיבוד נלקחות בחשבון | ודא שהערכת הסיכונים שלך מכסה את כל פעילויות עיבוד המידע האישי שלך ותואמת את מלאי הנתונים שלך |
| סקירת ניהול חלשה | ביקורות הנהלה הן שטחיות או אינן מכסות את התשומות הנדרשות | השתמשו בסדר יום מובנה המכסה את כל התשומות שצוינו בתקן (תוצאות ביקורת, שינויים בסיכונים, הזדמנויות לשיפור) |
| ראיות חסרות לביקורת פנימית | ביקורות פנימיות נערכות אך אינן מתועדות כראוי | תיעוד תוכניות ביקורת, ממצאים, פעולות מתקנות ומעקב. ISMS.online מספק ניהול ביקורת מובנה כדי לעקוב אחר זה |
| פערים במודעות הצוות | הצוות אינו יכול להסביר את המדיניות או הבקרות החלות על תפקידיו | ערכו מפגשי מודעות לפני הביקורת וודאו שרישומי קבלת המדיניות מעודכנים |
| תיעוד מיושן | מדיניות או נהלים מתייחסים לתהליכים או מבנים ארגוניים שהוחלפו | קבע סקירות מסמכים תקופתיות והשתמש בבקרת גרסאות כדי לעקוב אחר שינויים |
התחל בקלות עם הדגמת מוצר אישית
אחד ממומחי הקליטה שלנו ידריך אותך בפלטפורמה שלנו כדי לעזור לך להתחיל בביטחון.
מה קורה לאחר הביקורת?
לאחר שלב 2, יציג רואה החשבון את ממצאיו בישיבת סיכום ויפרסם דוח ביקורת רשמי. התוצאות האפשריות הן:
- המלצה להסמכה — לא נמצאו אי התאמות משמעותיות. ניתן לציין הערות קלות לשיפור.
- המלצה מותנית — אי התאמות קלות שזוהו. יהיה עליך להגיש ראיות לפעולה מתקנת בתוך מסגרת זמן מוגדרת (בדרך כלל 90 יום).
- הסמכה לא מומלצת — נמצאו אי התאמות משמעותיות. יידרש ביקורת מעקב לאחר שתטפלו בבעיות.
לאחר קבלת ההסמכה, ההסמכה תקפה לשלוש שנים, בכפוף לביקורות מעקב שנתיות. אלו קצרות יותר מביקורת ההסמכה הראשונית ומתמקדות בתת-קבוצה של דרישות לאישור עמידה מתמשכת.
מעקב והסמכה מחדש
| סוג ביקורת | מתי | היקף |
|---|---|---|
| ביקורת מעקב 1 | ~12 חודשים לאחר ההסמכה | תת-קבוצה של דרישות, בתוספת כל התחומים שסומנו בביקורת הראשונית |
| ביקורת מעקב 2 | ~24 חודשים לאחר ההסמכה | תת-קבוצה שונה של דרישות |
| ביקורת הסמכה מחדש | ~36 חודשים (לפני תפוגת התאריך) | הערכה מחודשת מלאה, בדומה להסמכה ראשונית |
ISMS.online עוזר לכם להישאר מוכנים לביקורת בין הערכות על ידי שמירה על תיעוד רציף של סקירות מדיניות, עדכוני סיכונים, פעולות מתקנות ותוצרי סקירות הנהלה - כך שלעולם לא תצטרכו להילחץ כדי להתכונן למועד ביקורת המעקב הבאה.
למה לבחור ב-ISMS.online להכנה לביקורת?
- ראיות מרוכזות: כל המדיניות, הבקרות, הערכות הסיכונים ורישומי הביקורת בפלטפורמה אחת, מוכנים לסקירה של רואי החשבון.
- ניהול ביקורת מובנה: לתכנן, לבצע ולעקוב אחר ביקורות פנימיות תוך שימוש בממצאים, פעולות מתקנות ומעקב - הכל מקושר לבקרות הרלוונטיות.
- פריסה ואישור של המדיניות: הפצת מדיניות לצוות, מעקב אחר מי קרא וקיבל אותן, ויצוא דוחות אימוץ עבור מבקרים.
- רישום סיכונים עם תוכניות טיפול: הדגמת גישה שיטתית לסיכוני פרטיות עם בקרות מקושרות, בעלים ותאריכי סקירה.
- תבניות לסקירת הנהלה: סדר יום ותפוקות מובנים המכסים כל קלט שהתקן דורש.
- ניטור רציף: לוחות מחוונים ומדדי KPI מציגים במבט חטוף את המצב הנוכחי של מערכת ה-PIMS שלכם, ותומכים במוכנות לביקורת מעקב.
- תיעוד מבוקר גרסה: היסטוריית גרסאות אוטומטית ובדיקת מסמכים מבטיחים שמבקרים תמיד יראו את הגרסה העדכנית והמאושרת.
שאלות נפוצות
כמה זמן נמשכת ביקורת הסמכה לתקן ISO 27701:2025?
שלב 1 אורך בדרך כלל יום עד יומיים, ושלב 2 אורך יומיים עד חמישה ימים, בהתאם לגודל ומורכבות הארגון שלכם. בדרך כלל יש פער של ארבעה עד שמונה שבועות בין שלב 1 לשלב 2 כדי לאפשר לכם לטפל בכל הממצאים.
האם ניתן לבצע את הביקורת מרחוק?
שלב 1 מתבצע בדרך כלל מרחוק. שלב 2 דורש בדרך כלל נוכחות באתר, אם כי גופי הסמכה רבים מציעים כיום גישות היברידיות המשלבות הערכה מרחוק והערכה באתר. גוף ההסמכה שלכם יאשר את הגישה במהלך התכנון.
מה קורה אם נקבל אי התאמה משמעותית?
אי התאמה משמעותית פירושה שלא ניתן להעניק הסמכה עד שהבעיה תיפתר. יהיה עליך ליישם פעולה מתקנת ולעבור ביקורת מעקב (או לספק ראיות מספיקות) לפני שגוף ההסמכה יוכל להמליץ. זה לא נדיר ואינו אומר שהיישום שלך נכשל.
האם אנו זקוקים לתקן ISO 27001 לפני שנוכל לעבור ביקורת לפי ISO 27701:2025?
כעת ניתן לאשר את תקן ISO 27701:2025 כתקן עצמאי , כך שהסמכת ISO 27001 אינה עוד תנאי הכרחי. עם זאת, אם כבר יש לכם תקן ISO 27001, היקף הביקורת עבור ISO 27701 יתמקד בתוספות ספציפיות לפרטיות.
כיצד עלינו לבחור גוף הסמכה?
חפשו גוף הסמכה המוסמך על ידי גוף הסמכה לאומי (כגון UKAS בבריטניה). שקלו את ניסיונו עם ISO 27701 באופן ספציפי, את זמינותם כמבקר, והאם הם מציעים ביקורות משולבות אם יש לכם הסמכות ISO אחרות. בקשו הצעות משניים או שלושה גופים כדי להשוות גישה, לוח זמנים ועלות.
