Nachweise und Berichte

Zu sagen, dass Sie sicher sind, reicht nicht aus; Sie müssen es nachweisen. Nachweise und Berichte zeigen Prüfern, Kunden und Aufsichtsbehörden, dass Kontrollen vorhanden sind und wie behauptet funktionieren.

Eine nicht dokumentierte Kontrolle gilt in einer Prüfung praktisch als nicht vorhanden.

Ein Nachweis ist alles, was objektiv zeigt, dass eine Kontrolle funktioniert:

• Konfigurationsexporte und Systemeinstellungen.
• Aufzeichnungen und Genehmigungen von Zugriffsüberprüfungen.
• Protokolle (Anmeldungen, Änderungen, Prüfungen).
• Screenshots mit Zeitstempeln.
• Tickets, Richtlinien und Sitzungsprotokolle.

Aussagekräftige Nachweise haben folgende Merkmale:

• Relevant für die geprüfte Kontrolle.
• Ausreichend in ihrer Menge und Abdeckung des Zeitraums.
• Zuverlässig und manipulationssicher; systemgenerierte Nachweise sind aussagekräftiger als bloße Eigenaussagen.
• Aktuell und innerhalb des Prüfungszeitraums erstellt.

Unterschiedliche Prüfungen erfordern unterschiedlich umfangreiche Nachweise:

• Zeitpunktbezogen (SOC 2 Type I): Die Kontrolle ist heute vorhanden.
• Über einen Zeitraum (SOC 2 Type II): Die Kontrolle war über Monate hinweg wirksam. Daher benötigen Sie wiederkehrende Nachweise, etwa monatliche Zugriffsüberprüfungen.

Bei Nachweisen aus Sicherheitsvorfällen und der Forensik müssen Sie eine Beweismittelkette aufrechterhalten: eine dokumentierte Aufzeichnung darüber, wer jedes Beweismittel gesammelt, bearbeitet und aufbewahrt hat. Eine unterbrochene Beweismittelkette kann dazu führen, dass Nachweise nicht zugelassen oder als nicht vertrauenswürdig eingestuft werden.

Prüfer untersuchen nur selten jeden einzelnen Datensatz. Sie ziehen eine repräsentative Stichprobe. Ihre Aufgabe besteht darin, vollständige Daten zur Grundgesamtheit bereitzustellen, damit die Stichprobe gültig ist, beispielsweise eine vollständige Liste neuer Mitarbeitender bei der Prüfung von Kontrollen zur Einarbeitung.

Manuelle Screenshots lassen sich nicht skalieren. Tools zur Compliance-Automatisierung beziehen kontinuierlich Nachweise aus Cloud- und Identitätssystemen, halten sie aktuell und reduzieren den Aufwand kurz vor einer Prüfung.

Ein guter Bericht vermittelt die Inhalte sowohl technischen als auch leitenden Lesern klar:

• Zusammenfassung für die Führungsebene: allgemeine Sicherheitslage und wesentliche Risiken.
• Prüfungsumfang und Methodik.
• Feststellungen mit Schweregrad und Nachweisen.
• Empfehlungen und Status der Behebung.

Passen Sie die Botschaft an die Zielgruppe an. Führungskräfte benötigen Informationen zu Risiko und geschäftlichen Auswirkungen; Ingenieure benötigen Details und Schritte zur Reproduktion. Vermeiden Sie Fachjargon in Zusammenfassungen und unklare Formulierungen in technischen Details.

Bewahren Sie Nachweise so lange auf, wie es das Framework und Ihre Richtlinie verlangen, häufig ein Jahr oder länger. Speichern Sie sie sicher und schützen Sie sie durch Zugriffskontrollen, da Nachweise selbst sensible Konfigurationen und personenbezogene Daten enthalten können.

Der Bericht ist ein Ausgangspunkt, nicht das Ende. Übernehmen Sie die Feststellungen in den Maßnahmenverfolger, beheben Sie die Grundursachen und übertragen Sie die Erkenntnisse in den nächsten Zyklus. Ausgereifte Programme zeigen im Laufe der Zeit einen rückläufigen Trend bei wiederkehrenden Feststellungen.

Beurteilen Sie die Aussagekraft eines Nachweises.

Nachweise und Berichte belegen die Compliance:

• Sammeln Sie relevante, ausreichende, zuverlässige und aktuelle Nachweise.
• Passen Sie den Umfang der Nachweise an zeitpunktbezogene Prüfungen oder Zeitraumprüfungen an.
• Halten Sie die Beweismittelkette aufrecht und ermöglichen Sie eine gültige Stichprobenprüfung.
• Verfassen Sie klare Berichte und übernehmen Sie Feststellungen in die Maßnahmenplanung.