IT-Sicherheitsaudit: Vom Prüfumfang zum Maßnahmenplan

Prüfziel und Grenzen festlegen

Geht es um Ihre Sicherheitsorganisation, eine konkrete Cloud-Konfiguration oder Anforderungen eines Kunden? Vereinbaren Sie Systeme, Standorte, Prozesse und Bewertungskriterien. Halten Sie ebenso fest, was außerhalb der Prüfung liegt. Ein allgemeiner Sicherheitscheck liefert andere Nachweise als ein Zertifizierungsaudit.

Audit, Scan und Penetrationstest unterscheiden

Ein organisatorisches Audit bewertet Nachweise und Abläufe. Ein Schwachstellenscan sucht technisch nach Hinweisen auf bekannte Lücken. Ein Penetrationstest untersucht innerhalb eines ausdrücklich freigegebenen Rahmens mögliche Angriffswege. Diese Verfahren ergänzen sich, sind aber nicht gleichzusetzen.

Technische Tests brauchen eine schriftliche Freigabe, definierte Zielsysteme, Zeitfenster, Ansprechpartner und Abbruchkriterien. Stimmen Sie mögliche Betriebsbeeinträchtigungen vorher ab. Systeme fremder Betreiber dürfen nicht einfach einbezogen werden.

Umsetzung anhand von Nachweisen prüfen

Betrachten Sie Identitäten, administrative Rechte, Patchstände, Fernzugänge, Netzwerkgrenzen und Endgeräteschutz. Prüfen Sie auch Wiederherstellungsproben, Notfallzuständigkeiten und Meldewege. Eine schriftliche Richtlinie allein belegt noch nicht, dass sie im Alltag angewendet wird.

Aus Befunden konkrete Aufgaben machen

Zu wesentlichen Befunden gehören betroffene Systeme, Nachweise und eine nachvollziehbare Risikobewertung. Trennen Sie bestätigte Schwachstellen von ungeprüften Hinweisen. Der Maßnahmenplan benennt Verantwortliche, Fristen und Abhängigkeiten. Halten Sie bewusst akzeptierte Restrisiken und Ausnahmen fest.

Beispiel: Aus einem Befund wird eine überprüfbare Aufgabe

Bei der Prüfung fällt auf, dass ein früherer Mitarbeiter noch über einen freigegebenen Fernzugang verfügt. Der Befund benennt Konto, betroffenen Zugangsweg und die vorhandenen Nachweise. Die Bearbeitung umfasst nicht nur das Sperren dieses Kontos: Auch weitere Zugänge, bestehende Sitzungen und der bisherige Austrittsprozess werden geprüft.

Im Maßnahmenplan stehen ein Verantwortlicher, ein Bearbeitungstermin und das Abnahmekriterium: Der Zugang ist entzogen und der Austrittsprozess erfasst künftig alle betroffenen Systeme. Bei der Nachprüfung wird die Umsetzung belegt. So lässt sich unterscheiden, ob nur ein Einzelfall korrigiert oder auch seine Ursache bearbeitet wurde.

Wirksamkeit erneut kontrollieren

Nach der Bearbeitung prüfen Sie, ob die vereinbarten Maßnahmen tatsächlich greifen. Weitere Prüfungen richten sich nach Risiko und Veränderungen Ihrer Umgebung. Neue Anwendungen, geänderte Zugriffswege und Umbauten der Infrastruktur sind Anlässe, die betroffenen Teile erneut zu bewerten.

Technik und Organisation verbinden

anyWARE unterstützt bei der technischen Bestandsaufnahme und Umsetzung. Für Datenschutz und den Aufbau eines ISMS beziehen wir bei Bedarf GINDAT ein. Die erforderliche Prüftiefe und fachliche Unabhängigkeit klären wir vor der Beauftragung.