Sicherheitsaudits

Ein Sicherheitsaudit ist eine systematische Bewertung, wie gut eine Organisation ihre Sicherheitskontrollen und -richtlinien einhält. Dabei wird der tatsächliche Zustand mit einem festgelegten Standard verglichen und es werden Lücken dokumentiert.

Audits bewerten Kontrollen; sie beheben Probleme nicht von selbst.

Diese Begriffe überschneiden sich, unterscheiden sich aber:

• Audit: prüft Kontrollen anhand eines Standards und unter Einbeziehung von Nachweisen.
• Penetrationstest: nutzt Schwachstellen aktiv aus, um Auswirkungen nachzuweisen.
• Risikobewertung: schätzt die Wahrscheinlichkeit und die Auswirkungen von Bedrohungen ein.

Audits haben zwei mögliche Ursprung:

• Intern: wird von Ihrem eigenen Team zur kontinuierlichen Absicherung und Vorbereitung durchgeführt.
• Extern: wird von unabhängigen Auditoren durchgeführt, ist für Zertifizierungen erforderlich und schafft Vertrauen bei Stakeholdern.

Ein typisches Audit folgt klaren Phasen:

• Planung: Geltungsbereich und Ziele festlegen.
• Prüfungsdurchführung: Nachweise sammeln und testen.
• Berichterstattung: Feststellungen und Schweregrade dokumentieren.
• Behebung: Lücken schließen und die Behebung überprüfen.

Der Geltungsbereich hält das Audit fokussiert und begrenzt. Legen Sie fest, welche Systeme, Standorte, Prozesse und Zeiträume einbezogen werden.

Klare Ziele (z. B. die Validierung der Kontrollen aus Annex A von ISO 27001) zeigen den Auditoren, welche Nachweise sie sammeln müssen und woran ein guter Zustand zu erkennen ist.

Auditoren sammeln Belege dafür, dass Kontrollen existieren und funktionieren:

• Konfigurationsexporte und Screenshots.
• Logs und Überprüfungen von Zugriffsberechtigungen.
• Richtlinien und unterzeichnete Genehmigungen.
• Interviews mit den Verantwortlichen für Kontrollen.

Auditoren testen auf zwei Arten:

• Design: Ist die Kontrolle geeignet, ihr Ziel zu erreichen?
• Wirksamkeit im Betrieb: Hat sie im betreffenden Zeitraum tatsächlich funktioniert?

Stichproben sind üblich: Es wird eine repräsentative Teilmenge der Datensätze untersucht und nicht alle.

Jede Lücke wird zu einer Feststellung, die nach ihrem Risiko bewertet wird. Eine einheitliche Skala hilft bei der Priorisierung.

• Kritisch / Hoch: dringend, ausnutzbar oder ein Hindernis für die Compliance.
• Mittel: sollte bald behoben werden.
• Niedrig / Beobachtung: geringfügig oder ein Vorschlag zur weiteren Absicherung.

Feststellungen müssen zu Maßnahmen führen. Verfolgen Sie jede Feststellung mit einer verantwortlichen Person, einem Plan und einem Fälligkeitsdatum in einem Behebungsregister.

• Weisen Sie Verantwortlichkeiten zu.
• Setzen Sie je nach Schweregrad realistische Fristen.
• Überprüfen Sie die Behebung durch einen erneuten Test, bevor Sie die Feststellung schließen.

Ein Auditor sollte keine Arbeiten bewerten, die er selbst durchgeführt hat, um Interessenkonflikte zu vermeiden. Unabhängigkeit – insbesondere bei externen Audits – macht das Ergebnis für Kunden und Aufsichtsbehörden glaubwürdig.

Moderne Programme ergänzen regelmäßige Audits durch kontinuierliche Überwachung: automatisierte Prüfungen, die nahezu in Echtzeit Abweichungen von einer sicheren Baseline melden und dadurch Überraschungen beim formellen Audit reduzieren.

Unterscheiden Sie ein Audit von einem Penetrationstest.

Sicherheitsaudits bewerten, wie gut Kontrollen einen Standard erfüllen:

• Audits unterscheiden sich von Penetrationstests und Risikobewertungen.
• Befolgen Sie den Lebenszyklus: planen, Prüfungsdurchführung, berichten, beheben.
• Sammeln Sie Nachweise, testen Sie Design und Betrieb und bewerten Sie Feststellungen.
• Verfolgen Sie die Behebung und wahren Sie die Unabhängigkeit der Auditoren.