Sicherheitsaudits und Compliance-Reviews

Sicherheitsaudits reichen von internen Selbsteinschätzungen, bei denen Frameworks als Checklisten verwendet werden, bis zu externen Audits durch unabhängige Dritte. Compliance-Audits überprüfen die Einhaltung bestimmter Standards wie PCI-DSS, ISO 27001 oder HIPAA. Penetrationstests liefern technische Gewissheit. Jede dieser Prüfungen erfüllt einen anderen Zweck.

Legen Sie den Auditumfang präzise fest: Welche Systeme, Prozesse und Kontrollen gehören zum Prüfungsumfang, welcher Bewertungszeitraum gilt, welche Kontroll-Frameworks sind anwendbar und welche Zielgruppe soll erreicht werden (interne Leitung oder externe Zertifizierungsstelle)? Änderungen am Umfang wirken sich auf Kosten, Zeitplan und die Anwendbarkeit der Feststellungen aus.

Prüfer erheben drei Arten von Nachweisen: Dokumentation (Richtlinien, Verfahren, Konfigurationsanleitungen), Beobachtung (Systemkonfigurationen, Prozessdurchläufe) und Tests (Kontrollen ausführen, Protokolle überprüfen). Die Nachweise müssen für jede bewertete Kontrolle ausreichend, zuverlässig und relevant sein.

Sicherheitsrichtlinien definieren die Zielsetzung, Verfahren legen fest, wie diese Richtlinien umgesetzt werden. Prüfer überprüfen, ob Richtlinien vorhanden und genehmigt sind, Verfahren aktuell sind und befolgt werden, Schulungsnachweise das Bewusstsein der Mitarbeitenden belegen und Ausnahmeprozesse genehmigte Abweichungen dokumentieren.

Technische Kontrollen werden durch eine direkte Prüfung verifiziert: Überprüfen Sie Firewall-Regelsätze, testen Sie Versuche, MFA zu umgehen, prüfen Sie den Patchstand, auditieren Sie die Gruppenmitgliedschaften in Active Directory, kontrollieren Sie Verschlüsselungskonfigurationen und verifizieren Sie, dass die Wiederherstellung von Backups funktioniert. Die Dokumentation von Kontrollen reicht nicht aus – sie müssen getestet werden.

SOC 2 ist ein Audit nach den Trust Services Criteria, das von Wirtschaftsprüfungsgesellschaften durchgeführt wird. Typ I bewertet das Kontrolldesign zu einem bestimmten Zeitpunkt. Typ II bewertet das Design und die operative Wirksamkeit über einen Zeitraum von 6–12 Monaten. SaaS-Unternehmen erstellen SOC 2 Type II reports für die Due-Diligence-Prüfung durch Kunden.

PCI-DSS verlangt von Händlern und Dienstanbietern eine jährliche Bewertung. Qualified Security Assessors (QSA) führen Vor-Ort-Prüfungen aller 12 Anforderungen durch. Eine Verkleinerung des Prüfungsumfangs durch Netzwerksegmentierung reduziert die Umgebung für Karteninhaberdaten und die Komplexität der Bewertung.

Feststellungen sind Kontrollfehler, die behoben werden müssen. Beobachtungen sind Verbesserungsmöglichkeiten, ohne dass derzeit ein Kontrollfehler vorliegt. Jede Feststellung enthält: Zustand (was ist), Kriterium (was sein sollte), Ursache (warum), Auswirkung (Folgen) und Empfehlung (wie der Fehler behoben wird).

Erstellen Sie für jede Feststellung einen Plan of Action and Milestones (POA&M) mit verantwortlicher Person, Zieltermin, vorläufigen kompensierenden Kontrollen und Status. Verfolgen Sie den Fortschritt der Behebung monatlich. Prüfer überprüfen den Status des POA&M bei Folgeprüfungen oder beim nächsten jährlichen Audit.

Jährliche Audits reichen für dynamische Umgebungen nicht aus. Eine kontinuierliche Überwachung der Compliance mit AWS Config, Azure Policy oder kommerziellen CSPM-Tools liefert den Compliance-Status in Echtzeit. Speisen Sie Feststellungen in das SIEM ein, um Abweichungen vom Compliance-Status zwischen Auditzyklen zu erkennen und zu melden.

Vorbereitung auf das Audit: Führen Sie eine interne Bereitschaftsbewertung durch, organisieren Sie Nachweise in einer Auditmanagement-Plattform, informieren Sie die Kontrollverantwortlichen über den Bewertungsprozess, beheben Sie bekannte Lücken vor dem Eintreffen der Prüfer und benennen Sie eine zentrale Ansprechperson, die Nachweisanfragen effizient koordiniert.

Worin besteht der Unterschied zwischen einem SOC 2 Type I und einem Type II report?

Sicherheitsaudits liefern eine unabhängige Bestätigung, dass Kontrollen angemessen konzipiert sind und wirksam funktionieren. Die Erhebung von Nachweisen, das Testen technischer Kontrollen, die Nachverfolgung der Behebung und die kontinuierliche Überwachung der Compliance zwischen den jährlichen Audits bilden gemeinsam ein robustes Compliance-Programm, das Kunden, Aufsichtsbehörden und dem internen Risikomanagement gerecht wird.