Audit für Informationssicherheit: So überprüfen Sie Ihr ISMS

Es gibt verschiedene Arten von Audits, die je nach Zweck und Durchführung variieren:

• Interne Audits: Diese werden von internen Mitarbeitern oder beauftragten Experten durchgeführt, um die Einhaltung der eigenen Sicherheitsrichtlinien sicherzustellen.
• Externe Audits: Externe Prüfer (z. B. Zertifizierungsstellen) bewerten das ISMS im Rahmen einer offiziellen Zertifizierung.
• Compliance-Audits: Prüfen die Einhaltung spezifischer gesetzlicher oder regulatorischer Anforderungen (z. B. DSGVO, NIS2).
• Technische Audits: Fokus auf IT-Sicherheitsmaßnahmen wie Penetrationstests oder Schwachstellenanalysen.

Ein Audit erfolgt in mehreren Schritten:

1. Planungsphase

• Festlegung des Audit-Umfangs (Scope)
• Identifikation relevanter Normen und Vorschriften
• Erstellung eines Auditplans mit Zeitplan und Prüfkriterien

2. Durchführung des Audits

• Dokumentenprüfung: Analyse der ISMS-Dokumentation (Richtlinien, Prozesse, Risikobewertungen)
• Interviews und Befragungen: Gespräche mit Verantwortlichen und Mitarbeitern, um das Verständnis für Sicherheitsmassnahmen zu prüfen.
• Technische Überprüfung: Analyse von Sicherheitsmechanismen, Logs, Netzwerksicherheit und Zugriffskontrollen.
• Beobachtung vor Ort: Kontrolle physischer Sicherheitsmassnahmen, z. B. Zutrittskontrollen.

3. Berichterstattung und Nachbereitung

• Erstellung eines Auditberichts mit Feststellungen und Empfehlungen
• Klassifizierung von Abweichungen (z. B. geringfügig, erheblich, kritisch)
• Definition von Massnahmen zur Behebung festgestellter Mängel
• Follow-up-Audit zur Prüfung der Umsetzung

• Management-Unterstützung: Engagement der Führungsebene für die Umsetzung von Sicherheitsmassnahmen.
• Mitarbeiterschulung: Sensibilisierung und Schulungen für alle Beteiligten.
• Regelmässige Audits: ISMS sollte kontinuierlich überprüft und verbessert werden.
• Risikobasierter Ansatz: Fokus auf die grössten Sicherheitsrisiken und deren Minimierung.