ISO 27001 Lead Auditor-opleiding: inhoud, niveaus en eisen

Wat is een ISO 27001 Lead Auditor-opleiding?

Een ISO 27001 Lead Auditor-opleiding leert je een audit van een ISMS te plannen, uit te voeren en af te sluiten. Auditorschema's worden door meerdere organisaties beheerd. Dit artikel beschrijft de route van PECB, op basis van de PECB-site. Andere schema's, zoals die van CQI en IRCA, bestaan ook en kunnen eigen eisen hebben.

Let op het verschil tussen een opleiding en een certificering. De opleiding is een cursus van vijf dagen. De certificering is de cursus, plus het examen, plus de werkervaring die het niveau vraagt. Met alleen de cursus ben je dus nog niet gecertificeerd, en wat je na de cursus nog moet doen hangt af van het niveau dat je wilt halen.

Wat is ISO/IEC 27001?

ISO/IEC 27001 is volgens ISO "de bekendste norm ter wereld" voor informatiebeveiligingsmanagementsystemen (ISMS). De norm beschrijft de eisen waaraan een ISMS moet voldoen. ISO schrijft dat de norm bedrijven van elke omvang en uit alle sectoren richtlijnen biedt voor het opzetten, implementeren, onderhouden en voortdurend verbeteren van een ISMS.

De huidige editie is ISO/IEC 27001:2022, de derde editie, gepubliceerd in oktober 2022. De norm kent één amendement, ISO/IEC 27001:2022/Amd 1:2024, getiteld "Climate action changes". ISO raadt aan de volledige aanduiding te gebruiken, zoals "gecertificeerd naar ISO/IEC 27001:2022", en niet alleen "gecertificeerd naar ISO 27001". Volgens ISO is certificering een manier om klanten en andere belanghebbenden iets te laten zien over de aanpak van informatiebeveiliging.

In gewone taal is een ISMS het geheel van beleid, risicoanalyse, maatregelen, rollen en controles waarmee een organisatie informatiebeveiliging beheerst en verbetert. De norm eist dat dit systeem bestaat, wordt uitgevoerd, wordt gecontroleerd en wordt verbeterd. Een audit onderzoekt of dat in de praktijk ook zo is. Wie meer wil lezen over het vakgebied, vindt het onder informatiebeveiliging, en vacatures waarin ISO/IEC 27001 terugkomt staan op de skillpagina.

Wat doet een lead auditor?

Een lead auditor leidt het auditteam en de audit. Volgens PECB leert de opleiding een ISO/IEC 27001-audit te plannen, uit te voeren en af te sluiten, en een auditprogramma te beheren. In gewone taal begint een audit met het auditprogramma en het plan. Daarna volgen interviews, steekproeven en het inspecteren van bewijs, en de audit eindigt met het rapport met bevindingen. Een lead auditor bewaakt de planning en rapporteert de uitkomsten.

Audits vinden plaats in drie situaties. Een organisatie auditeert zichzelf, dat is een interne audit. Een organisatie auditeert een leverancier of partner. Een externe certificatie-instelling auditeert voor een certificaat. De eerste twee kunnen met de kennis uit deze opleiding. Bij de derde hangen de eisen af van de instelling en het schema, dus vraag na welke titel die vraagt voordat je een opleiding boekt.

PECB noemt als doelgroep onder meer auditors die ISMS-audits willen uitvoeren en leiden, managers en consultants die het auditproces willen leren, en mensen die verantwoordelijk zijn voor het in conformiteit houden van het ISMS van hun organisatie. Ook technische experts die zich op ISMS-audits voorbereiden en adviseurs op het gebied van informatiebeveiliging horen daarbij. Auditwerk raakt aan risicomanagement, omdat een ISMS op een risicoanalyse rust.

Hoe verloopt de PECB-opleiding?

De opleiding duurt vijf dagen. Elke dag heeft een eigen onderwerp, en dag vijf is het certificeringsexamen.

Het examen heeft zeven domeinen: fundamentele principes en concepten van een ISMS, het Information Security Management System zelf, fundamentele auditconcepten en auditprincipes, voorbereiding van een ISO/IEC 27001-audit, het uitvoeren van een ISO/IEC 27001-audit, het afsluiten van een ISO/IEC 27001-audit, en het beheren van een ISO/IEC 27001-auditprogramma. Voor de duur en het formaat van het examen verwijst PECB naar zijn examenregels.

PECB noemt als leerdoelen onder meer dat je de fundamentele concepten van een ISMS uitlegt, de eisen van ISO/IEC 27001 vanuit het perspectief van een auditor interpreteert, en een audit plant, uitvoert en afsluit volgens ISO/IEC 17021-1 en de richtlijnen van ISO 19011. Ook leer je een auditprogramma te beheren.

De aanpak combineert theorie met best practices uit ISMS-audits. De colleges werken met casussen, de praktijkonderdelen bevatten rollenspel en discussie, en de oefenexamens lijken op het echte certificeringsexamen.

PECB noemt als voorkennis een basisbegrip van ISO/IEC 27001 en uitgebreide kennis van auditprincipes. Heb je die basis nog niet, begin dan met de norm voordat je de cursus boekt.

Welke niveaus en eisen kent de PECB-certificering?

PECB kent vier certificeringsniveaus voor de ISO/IEC 27001 Auditor. De eisen per niveau staan in de tabel.

Voor alle niveaus geldt dat je het PECB Certified ISO/IEC 27001 Lead Auditor-examen moet halen, of een gelijkwaardig examen, en dat je de PECB Code of Ethics ondertekent. De auditervaring moet bestaan uit onder meer auditplanning, audits ter plaatse en het leiden van een auditteam.

Wie de cursus volgt, krijgt een bewijs van deelname ter waarde van 31 CPD-credits. Volgens PECB zijn de kosten voor certificering en examen inbegrepen in de prijs van de cursus. Bij een gezakt examen kun je binnen 12 maanden gratis opnieuw examen doen. De eisen staan op de PECB-site en kunnen wijzigen, dus controleer ze voordat je boekt.

Welke normen horen bij auditen: ISO/IEC 17021-1, ISO 19011 en ISO/IEC 27006-1?

Drie normen horen bij auditwerk:

• ISO/IEC 17021-1 heet volgens ISO "Conformity assessment: Requirements for bodies providing audit and certification of management systems, Part 1: Requirements" (uitgave 2015).
• ISO/IEC 27006-1 (uitgave 2024) heet "Information security, cybersecurity and privacy protection: Requirements for bodies providing audit and certification of information security management systems, Part 1: General".
• ISO 19011 heet "Guidelines for auditing management systems". Er bestaat een recente editie, dus kijk voor de actuele versie op de ISO-pagina.

De titels laten zien dat 17021-1 en 27006-1 eisen stellen aan organisaties die auditeren en certificeren, niet aan jou als individu. ISO 19011 geeft volgens de titel richtlijnen voor het auditen van managementsystemen in het algemeen. PECB noemt 17021-1 en ISO 19011 in de leerdoelen van de cursus. ISO/IEC 27006 noemt PECB niet bij de cursus, dus ga er niet van uit dat de cursus die norm behandelt.

Voor jou betekent dit dat je de normen niet allemaal uit het hoofd hoeft te kennen om te beginnen. De opleiding verwijst wel naar 17021-1 en ISO 19011, dus die kom je in de cursus tegen.

Lead Auditor of Lead Implementer?

Een Lead Auditor en een Lead Implementer werken aan hetzelfde systeem, maar vanuit een andere kant. PECB omschrijft de Lead Implementer als iemand die een organisatie ondersteunt bij het plannen, implementeren, beheren, monitoren en onderhouden van een ISMS. De Lead Auditor toetst een ISMS. PECB biedt de Lead Implementer als aparte cursus van vijf dagen aan, met dag vijf als certificeringsexamen.

Voor de keuze geldt een eenvoudige lijn. Wie advies, implementatie of projectleiding doet, kijkt eerder naar de Lead Implementer. Wie toetst, rapporteert of audit doet, kijkt eerder naar de Lead Auditor. In GRC-rollen komen beide voor, afhankelijk van het project.

De twee vullen elkaar aan: de implementer helpt het systeem bouwen en onderhouden, de auditor beoordeelt het. Bij sommige organisaties wordt gevraagd dat wie een systeem heeft opgezet het niet zelf auditeert, om de onafhankelijkheid te bewaren. Dat is een algemene praktijk, geen regel die overal geldt, dus kijk in de vacature of vraag na hoe het bij jouw doelwerkgever geregeld is. Andere certificeringen kiezen? Lees de keuzegids over certificeringen.

Voor welke functies past de Lead Auditor?

Wat een werkgever vraagt verschilt per organisatie. Bekijk de vacatures voor Lead Auditors om te zien welke werkgevers de certificering noemen.

Een IT-auditor beoordeelt of de IT-beheersing op orde is. De Lead Auditor sluit daarop aan voor wie ISO/IEC 27001 als toetsingskader gebruikt. Werkgevers die IT-auditors zoeken, staan op de werkgeverspagina voor IT-auditors. Voor IT-auditors bestaat ook de CISA-certificering, een auditcertificering.

Een GRC-consultant adviseert over governance, risk en compliance. Met deze opleiding kan een GRC-consultant de auditkant van ISO/IEC 27001 bedienen.

Een Information Security Officer gebruikt de kennis om interne audits te plannen en om beter om te gaan met externe auditors. Het verschil met de rol van CISO staat in de carrieregids.

Een Compliance Officer gebruikt de kennis op dezelfde manier, voor interne audits en voor de omgang met externe auditors. Compliance-werk hoort bij het vakgebied compliance en privacy.

Een opleiding vervangt geen auditervaring. De PECB-niveaus laten dat zien: de opleiding en het examen geven de toegang, en de hogere niveaus vragen aantoonbare uren auditwerk. Werkgevers wegen opleiding en ervaring per functie en per organisatie verschillend. Controleer voordat je boekt bij de aanbieder wat in de prijs zit, in welke taal de cursus en het examen zijn, en welk schema (PECB of een ander) jouw doelwerkgevers noemen. Dat zie je het snelst in de vacatures voor jouw functie. Meer rollen en certificeringen vind je in de kennisbank.