Je audit voorbereiden in 5 stappen, zonder een week screenshots

De auditor komt over twee weken. Je krijgt een lijst met veertig bewijsstukken: toegangslijsten, patchoverzichten, back-uprapporten, incidentlogs. Je weet dat alles ergens bestaat. De komende dagen ben je vooral aan het zoeken.

Dat kan anders. Niet met een wondermiddel, wel met een gewoonte: bewijs verzamelen op het moment dat het ontstaat, in plaats van achteraf. Hieronder vijf stappen om daar te komen.

Waarom de gewone aanpak zoveel tijd kost

Vaak begint het verzamelen pas als de auditor zijn lijst stuurt. Het team maakt screenshots, draait exports en zoekt mails terug. Tegen de tijd dat alles binnen is, is een deel alweer verouderd. En bij de volgende audit begint het opnieuw. Het echte probleem is niet de auditor. Het is dat het bewijs pas ontstaat op het moment dat iemand erom vraagt.

Stap 1: log automatisch, op één plek

Zorg dat beveiligingsgebeurtenissen vanzelf worden vastgelegd: inloggen, rechtenwijzigingen, beheeracties en configuratiewijzigingen. Breng ze samen op één plek, zodat je niet per systeem hoeft te zoeken. Bepaal ook hoe lang je logs bewaart. Een audit gaat vaak over een heel jaar, dus een bewaartermijn van een maand helpt je niet.

Stap 2: laat bewijs vanzelf binnenkomen

Kijk per bewijsstuk of het automatisch kan. Denk aan een maandelijkse export van gebruikers en rechten, een back-uprapport dat naar een vaste map gaat of een script dat de patchstatus wegschrijft. Een GRC-tool kan helpen. Een goed georganiseerde map met vaste bestandsnamen werkt ook. Begin met de vijf bewijsstukken die bij elke audit terugkomen en automatiseer die eerst.

Stap 3: koppel bewijs aan controls

Maak een tabel: welk bewijsstuk hoort bij welke control in ISO 27001, de BIO of NIS2? Veel bewijs telt voor meerdere kaders tegelijk. Een rechtenreview is bijvoorbeeld bruikbaar voor alle drie.

Houd de tabel eenvoudig. Per regel: het bewijsstuk, de controls waar het voor telt, de eigenaar, hoe vaak het nodig is en waar het staat. Meer kolommen heb je zelden nodig.

Stap 4: zet een bewijskalender op

Sommige bewijsstukken zijn periodiek. Zet ze in een kalender, met een eigenaar en een vaste plek om het resultaat op te slaan. Een eenvoudig begin:

• Elke maand: een rechtenreview van beheeraccounts en een test met een teruggezette back-up.
• Elk kwartaal: een review van leveranciers en hun sub-verwerkers.
• Elk jaar: een tafeloefening voor incidenten, een herziening van het beveiligingsbeleid en een bewustwordingstraining.

Zet de kalender op een plek waar je team hem ziet, niet alleen in je eigen agenda.

Stap 5: doe een proefaudit

Vraag een collega die het systeem niet kent om tien willekeurige bewijsstukken op te vragen. Kun je ze binnen een uur leveren? Wat niet lukt, zet je op de lijst. Zo vind je de gaten voordat de auditor ze vindt. Doe het een maand voor de echte audit, dan heb je tijd om ze te dichten.

Wie doet wat?

Bewijs verzamelen is geen klus voor één persoon. Geef elk bewijsstuk een eigenaar op de plek waar het ontstaat: systeembeheer voor rechten en patches, HR voor in- en uitdienst, de servicedesk voor incidenten. Jij houdt de kalender bij en kijkt of alles op tijd binnenkomt.

Wat het oplevert

We gaan je niet beloven dat je audit in de helft van de tijd klaar is; dat hangt van te veel af. Wat wel verandert: je zoekt het bewijs niet meer, want het ligt al klaar. En je ziet het hele jaar waar je staat, niet alleen in de week voor de audit.

Noveu werkt aan een Compliance Console die bewijssets automatisch verzamelt. Die is in ontwerp; er is nog geen versie om te gebruiken. Met de vijf stappen hierboven kom je nu al een heel eind. Op onze compliancepagina zie je per kader wat Noveu nu al technisch regelt.