Interne Audits in der Informationssicherheit

ISMS-Audit und Revision im IT-Grundschutz

Der Baustein DER.3.1 Audits und Revisionen beschreibt Audits und Revisionen als grundlegend für jedes erfolgreiche ISMS: Nur wenn Maßnahmen und Prozesse regelmäßig darauf geprüft werden, ob sie wirksam, vollständig, angemessen und aktuell sind, lässt sich der Gesamtzustand beurteilen. Der Baustein grenzt ab:

• Audit: eine systematische, unabhängige Prüfung von Aktivitäten und Ergebnissen gegen definierte Anforderungen wie Normen, Standards oder Richtlinien.
• Revision: eine Prüfung, ob Dokumente, Zustände oder Vorgehensweisen korrekt, wirksam und angemessen sind. Sie muss nicht unbedingt unabhängig erfolgen und kann im Sinne einer Wartung auch die Nachbesserung umfassen.

DER.3.1 betrifft interne Audits (Erstparteien-Audits), Revisionen und Audits bei Dienstleistern oder Partnern (Zweitparteien-Audits). Zertifizierungsaudits durch Dritte und die für Bundesbehörden verpflichtende IS-Revision sind nicht Gegenstand des Bausteins.

Der Baustein ISMS.1 verlangt in A11, das Sicherheitsniveau regelmäßig, mindestens jährlich, sowie anlassbezogen zu überprüfen, und zwar durch qualifizierte und unabhängige Personen. Ergebnisse sind nachvollziehbar zu dokumentieren, Mängel zu beseitigen. ISO/IEC 27001 sieht interne Audits und eine Managementbewertung ebenfalls als feste Bestandteile eines ISMS vor.

Basis-Anforderungen nach DER.3.1

• A1 Verantwortlichkeiten: Die Leitung benennt eine Person, die Audits und Revisionen plant und initiiert, und achtet auf Interessenkonflikte. Die Ergebnisse müssen zur Verbesserung genutzt werden.
• A2 Vorbereitung: Prüfgegenstand und Prüfziele festlegen, betroffenes Personal unterrichten, je nach Gegenstand die Personalvertretung informieren.
• A3 Durchführung eines Audits: Das Auditteam prüft, ob Anforderungen erfüllt sind; die geprüfte Institution muss die Anforderungen kennen. Jedes Audit umfasst eine Dokumentenprüfung und eine Vor-Ort-Prüfung. Das Auditteam greift niemals selbst aktiv in Systeme ein und erteilt keine Anweisungen zu Änderungen. Alle Ergebnisse werden schriftlich im Auditbericht festgehalten und zeitnah übermittelt.
• A4 Durchführung einer Revision: Prüfung, ob Anforderungen vollständig, korrekt, angemessen und aktuell umgesetzt sind; Abweichungen sind schnellstmöglich zu korrigieren, Revisionen mit Änderungsverfolgung zu dokumentieren.

Als Standard-Anforderungen folgen unter anderem ein mehrjähriges Auditprogramm durch den ISB (A7), die Auswahl eines geeigneten Teams (A9), Auftaktgespräch, Dokumentensichtung, Stichproben, Prüfmethoden, Interviews, Abschlussbesprechung, Auditbericht und Nachbereitung (A12 bis A25) sowie die Archivierung der Unterlagen (A27).

Ablauf eines internen ISMS-Audits

1. Planung

Ein Auditprogramm verteilt die Themen über mehrere Jahre, sodass alle Bereiche in angemessenen Abständen geprüft werden. Für kleine Betriebe kann das eine Liste mit drei bis vier Schwerpunkten pro Jahr sein. Kritische Themen wie Datensicherung und Berechtigungen werden häufiger geprüft.

2. Vorbereitung

• Prüfgegenstand und Ziele festlegen, etwa «Datensicherung: Konzept vorhanden, Sicherungen vollständig, Wiederherstellung getestet»,
• Prüfgrundlage bestimmen, etwa die Basis-Anforderungen der relevanten Bausteine, WiBA-Checklisten oder die eigene Richtlinie,
• Termine abstimmen, Beteiligte informieren, Dokumente anfordern.

3. Dokumentenprüfung

Sichtung von Konzepten, Richtlinien, Protokollen und Nachweisen: Gibt es die Regeln, sind sie freigegeben und aktuell?

4. Vor-Ort-Prüfung

Interviews, Begehungen und Stichproben. Beispiele:

• Wiederherstellung einer zufällig gewählten Datei aus der Sicherung vorführen lassen,
• drei Konten ausgeschiedener Mitarbeitender in allen Systemen prüfen,
• Updatestand von fünf zufällig gewählten Geräten ansehen,
• Teilnahmeliste der letzten Schulung mit der Personalliste vergleichen.

Wichtig: Die prüfende Person schaut zu und lässt sich zeigen, sie ändert nichts selbst.

5. Bewertung und Bericht

Feststellungen werden bewertet, etwa als erfüllt, teilweise erfüllt, nicht erfüllt, und mit Empfehlungen versehen. Der Bericht geht an die zuständige Stelle und in zusammengefasster Form an die Geschäftsführung.

6. Nachbereitung

Die Geschäftsführung entscheidet über Maßnahmen und Fristen. Die Maßnahmen fließen in den Umsetzungsplan, und beim nächsten Audit wird ihre Umsetzung geprüft.

Wer im kleinen Betrieb auditieren kann

Unabhängigkeit ist im kleinen Betrieb schwer zu erreichen, weil wenige Personen viele Rollen haben. Möglichkeiten:

• eine Person aus einem anderen Bereich prüft mit einer vorbereiteten Checkliste,
• der ISB prüft Bereiche, die er nicht selbst umsetzt, etwa die Arbeit des IT-Dienstleisters,
• ein externer Prüfer übernimmt das Audit ganz oder für kritische Themen,
• gegenseitige Audits mit einem befreundeten Betrieb, sofern Vertraulichkeit vereinbart ist.

DER.3.1 weist darauf hin, dass ISB häufig selbst prüfen, ob Maßnahmen umgesetzt sind, dabei aber die Prüfung des ISMS selbst vergessen wird, die durch unabhängige Dritte erfolgen sollte.

Audits bei Dienstleistern

Zweitparteien-Audits bei Dienstleistern setzen ein vertragliches Prüfrecht voraus, wie es OPS.2.3 für Outsourcing-Verträge vorsieht. Bei großen Anbietern ersetzen in der Regel Zertifikate und Prüfberichte ein eigenes Audit.

Typische Fehler

• Audit nur auf dem Papier, ohne Stichproben in der Praxis,
• Feststellungen ohne Verantwortliche und Fristen,
• keine Nachverfolgung beim nächsten Audit,
• Audit als Schuldsuche statt als Verbesserungswerkzeug,
• Personalvertretung nicht informiert, obwohl Verhalten von Mitarbeitenden geprüft wird.