Ein internes ISO-27001-Audit, das das System verbessert

Ein internes Audit gibt der Organisation die Chance, herauszufinden, wo ihr Informationssicherheitsmanagementsystem (ISMS) von ihren Absichten abweicht. Das nützliche Ergebnis ist eine belegte Bewertung und ein klarer Verbesserungsweg für jede wesentliche Feststellung, nicht bloß ein Ordner voller Screenshots, die für die Zertifizierung vorbereitet wurden.

Für eine technische Führungskraft lautet die zentrale Frage, ob das System über reale Dienste, Menschen und Übergaben hinweg funktioniert. Eine Richtlinie kann freigegeben sein, während ihre Umsetzung versagt. Ein Audit sollte diesen Unterschied aufdecken, ohne jede betriebliche Unvollkommenheit in eine unbelegte Compliance-Feststellung zu verwandeln.

Legen Sie fest, was das Audit nachweisen muss

ISO/IEC 27001 verlangt in Abschnitt 9.2 interne Audits in geplanten Abständen, um zu beurteilen, ob das ISMS die eigenen Anforderungen der Organisation und die Anforderungen der Norm erfüllt und ob es wirksam umgesetzt und aufrechterhalten wird. Das Auditprogramm muss die Bedeutung der Prozesse und die Ergebnisse früherer Audits berücksichtigen, und die Auditoren sind so auszuwählen, dass Objektivität und Unparteilichkeit gewährleistet sind.

Ein internes Audit kann von Beschäftigten oder von einer zu diesem Zweck beauftragten externen Fachkraft durchgeführt werden. Es führt nicht zu einem Zertifikat: Die Zertifizierung ist eine eigenständige Bewertung durch eine unabhängige Zertifizierungsstelle. Interne Audits bleiben auch nach der Zertifizierung Teil des ISMS-Betriebs und sind nicht nur Vorbereitung auf die Erstbewertung.

ISO 27001 schreibt keine allgemeingültige jährliche Häufigkeit für interne Audits vor. Als praktische Empfehlung sollten Sie einen dokumentierten Zeitplan verwenden, der Risiko, Änderungen und frühere Feststellungen widerspiegelt, mit häufigerer Aufmerksamkeit für instabile oder kritische Prozesse.

Vereinbaren Sie Kriterien, Grenzen und Verantwortlichkeiten

Ein einzelnes Audit muss nicht alles gleichzeitig untersuchen. Das Programm sollte das ISMS im Geltungsbereich über seinen geplanten Zyklus abdecken, statt immer wieder nur vertraute Maßnahmen zu prüfen.

Dokumentieren Sie diese Entscheidungen, bevor Sie Nachweise anfordern:

Anhang A verlangt nicht, jede Maßnahme identisch umzusetzen. Prüfen Sie, ob Anwendbarkeitsentscheidungen und Ausschlüsse begründet sind, und testen Sie dann die Zusagen, die die Organisation tatsächlich gemacht hat.

Wählen Sie kompetente Auditoren, die sowohl die Anforderungen an das Managementsystem als auch die untersuchten Maßnahmen verstehen. Vermeiden Sie, dass Personen ihre eigene Arbeit auditieren. In einem kleinen Entwicklungsteam kann ein externer Auditor oder eine funktionsübergreifende prüfende Person Konflikte auflösen, sofern ausreichende Kompetenz und Zugang zu Nachweisen bestehen.

Bauen Sie Nachweise um betriebliche Fragen herum auf

Beginnen Sie mit Geltungsbereich, Risikobeurteilung, Behandlungsplan, Erklärung zur Anwendbarkeit, Richtlinien, früheren Feststellungen und relevanten Betriebsaufzeichnungen. Diese erklären, was geschehen soll und wo Fehler am meisten ins Gewicht fallen würden.

Formulieren Sie dann testbare Fragen. Fragen Sie bei privilegierten Zugriffen, ob Genehmigungen vor dem Zugriff erfolgen, ob Überprüfungen den relevanten Kontenbestand abdecken und ob entzogene Berechtigungen tatsächlich verschwinden. Eine unterschriebene Zugriffsrichtlinie belegt die Absicht; Kontenexporte, Genehmigungsnachweise und Protokolle über Entzüge belegen den Betrieb.

Erstellen Sie einen Stichprobenplan, der jüngste Änderungen, kritische Dienste, frühere Schwächen und Ausnahmen einbezieht. Dokumentieren Sie Grundgesamtheit, Auswahlmethode, Zeitraum und Begründung. Praktische Stichproben müssen keine einheitliche feste Größe haben, aber erklärbar sein. Eine Handvoll bequemer Screenshots repräsentiert selten einen ganzen Betriebszeitraum.

Gleichen Sie Aufzeichnungen mit Interviews und Beobachtungen ab. Beschreiben Verantwortliche eine manuelle Übergabe, prüfen Sie abgeschlossene Übergaben. Widersprechen Nachweise einem Interview, untersuchen Sie den Widerspruch, statt die beruhigendere Darstellung zu wählen. Dokumentieren Sie Einschränkungen, wenn ein System keine historischen Nachweise liefern kann; schließen Sie nicht stillschweigend von der aktuellen Konfiguration auf frühere Leistung.

Verfolgen Sie eine Maßnahme anhand eines Beispiels

Beispielhafte Annahmen: Ein SaaS-Unternehmen auditiert Austritte von Beschäftigten über drei Monate. Sein Verfahren verlangt den Entzug von Zugriffen bis zum Austrittszeitpunkt. Die Personaldaten zeigen 12 Austritte; der Auditor untersucht alle drei privilegierten Nutzer und vier weitere Austritte aus verschiedenen Teams.

Der Auditor vergleicht die Austrittszeitpunkte aus der Personalabteilung mit Ereignissen beim Identitätsanbieter, dem Kontostatus in Anwendungen und Tickets zur Beendigung von Zugängen. Das Konto eines ehemaligen Entwicklers beim Identitätsanbieter wurde rechtzeitig deaktiviert, doch ein separat verwaltetes Repository-Konto blieb zwei Tage lang aktiv.

Klären Sie vor der Einstufung der Feststellung, ob sich das Konto authentisieren konnte, welche Berechtigungen bestanden und ob eine genehmigte Ausnahme vorlag. Befragen Sie Personalabteilung und Anwendungsverantwortliche, um die Übergabe zu verstehen. Weiten Sie die Prüfung auf andere Austritte mit separat verwalteten Anwendungen aus, wenn die Auslassung systematisch erscheint.

Eine belastbare Feststellung benennt das verletzte Verfahren, den beobachteten Zustand, unterstützende Aufzeichnungen, den betroffenen Umfang und die mögliche Folge. Sie sollte nicht behaupten, dass ein unbefugter Zugriff stattgefunden hat, sofern die Nachweise diese Schlussfolgerung nicht stützen.

Trennen Sie Feststellungen von Annahmen

Eine Nichtkonformität erfordert den Nachweis, dass eine Anforderung nicht erfüllt wurde. Ein Verbesserungspotenzial benennt eine sinnvolle Weiterentwicklung, ohne einen Verstoß zu belegen. Eine offene Frage bleibt offen, bis ausreichende Nachweise eine Schlussfolgerung stützen.

Verwenden Sie einheitliche Einstufungen und priorisieren Sie Feststellungen nach Exposition, Wiederholung und Breite. Lassen Sie ein Schweregradetikett nicht an die Stelle der Begründung treten. Geben Sie Prozessverantwortlichen die Möglichkeit, sachliche Fehler zu korrigieren, während der Auditor für die Schlussfolgerung verantwortlich bleibt.

Der Bericht sollte Umfang, Kriterien, Methoden, Einschränkungen, Feststellungen und die durch die geleistete Arbeit gestützte Gesamtbewertung angeben.

Machen Sie Korrekturmaßnahmen zu mehr als einem Abschluss

Ein Maßnahmenplan sollte eine verantwortliche Person, ein Fälligkeitsdatum, die sofortige Korrektur, die Grundursache und die Änderung benennen, die ein erneutes Auftreten verhindern soll. Das Entfernen des Repository-Kontos korrigiert diesen Einzelfall. Die Behebung des unvollständigen Anwendungsinventars und der Übergabe von der Personalabteilung an die IT adressiert den Prozess.

Akzeptieren Sie „menschliches Versagen“ nicht als vollständige Grundursache, wenn der Ablauf vom Gedächtnis abhängt oder keine klare Verantwortung hat. Legen Sie Wirksamkeitskriterien fest, bevor Sie die Maßnahme schließen: Beispielsweise müssen spätere Austritte abgeglichene Prüfungen gegen das relevante Anwendungsinventar enthalten.

Ein erledigtes Ticket belegt die Durchführung, nicht unbedingt die Wirksamkeit. Prüfen Sie nach der Umsetzung eine weitere Stichprobe und bewahren Sie das Verifizierungsergebnis auf. Öffnen Sie die Maßnahme erneut, wenn derselbe Fehler wieder auftritt.

Speisen Sie die Ergebnisse in Leitung und Tagesarbeit ein

Berichten Sie wiederkehrende Schwächen, überfällige Maßnahmen, Ressourcenbedarf und wesentliche Risikoentscheidungen an die zuständige Leitung. Ergebnisse interner Audits sind nach ISO 27001 eine Eingabe für die Managementbewertung; diese ist eine eigenständige Tätigkeit mit weiteren vorgeschriebenen Eingaben, nicht bloß eine Besprechung zur Freigabe des Auditberichts.

Secani verbindet Anforderungen, Nachweise, Verantwortliche, Aufgaben und Prüfentscheidungen, sodass Bewertung und Nachverfolgung im Zusammenhang bleiben. Halten Sie unterstützende Aufzeichnungen mit den relevanten Maßnahmen verknüpft und bewahren Sie die menschliche Freigabe von Schlussfolgerungen aus Nachweisen. Nutzen Sie unseren Leitfaden zur Audit-Readiness, um diese Aufzeichnungen vor der Auditdurchführung zu ordnen.

Ein praktischer nächster Schritt ist, einen kritischen Prozess auszuwählen, einen unparteiischen Auditor zu benennen und Kriterien sowie Stichprobenplan festzulegen. Planen Sie die Wirksamkeitsprüfung bereits bei der Zuweisung der Korrekturmaßnahmen ein, nicht erst, wenn alle sie für erledigt halten.