Ein internes ISO-27001-Audit ist eine geplante Prüfung Ihres Informationssicherheits-Managementsystems (ISMS) an zwei Maßstäben: den Anforderungen der Norm und Ihren eigenen Richtlinien und Verfahren. Durchgeführt wird es von jemandem, der die Maßnahmen weder aufgebaut hat noch betreibt, entweder von einer geschulten Person aus einem anderen Team oder von einem externen Auditor.
Der Auditor arbeitet mit Nachweisen. Er liest die Scope-Beschreibung, die Risikobeurteilung und das Statement of Applicability (SoA), wählt dann Stichproben aus und verfolgt jede Schritt für Schritt. Ein typisches Beispiel: fünf Personen, die das Unternehmen im vergangenen Jahr verlassen haben, einzeln daraufhin geprüft, ob ihre Konten an dem Tag geschlossen wurden, den die Richtlinie vorgibt. Außerdem führt er Interviews mit den Menschen, die die Maßnahmen umsetzen, von der IT-Leitung bis zum neu eingestellten Engineer. Alles, was dabei auffällt, kommt in einen Bericht, und jede Feststellung wird als schwerwiegende Abweichung, geringfügige Abweichung oder Hinweis eingestuft.
Das Audit hat zwei Aufgaben. Abschnitt 9.2 verlangt regelmäßige interne Audits nach einem Zeitplan, den Sie selbst festlegen, und die Zertifizierungsstelle prüft in Stage 1 und bei jedem Überwachungsaudit, dass eines stattgefunden hat. Zugleich sehen Sie die Lücken, solange deren Behebung noch Ihre eigene Angelegenheit ist. Ein fehlender Backup-Test, den Ihr eigenes Audit im März findet, ist eine Aufgabe auf einer Liste. Dieselbe Lücke, im Mai vom Zertifizierungsauditor entdeckt, ist eine Abweichung in seinem Bericht.
Die Ergebnisse gehen an die oberste Leitung und fließen in die Managementbewertung ein (Abschnitt 9.3), in der entschieden wird, was sich ändert.