Was ist ein Informationssicherheitsaudit?
Ein Informationssicherheitsaudit ist eine systematische, unabhängige Überprüfung der Sicherheitsmaßnahmen, Richtlinien und Infrastrukturen eines Unternehmens. Ziel ist es, Schwachstellen zu erkennen und die Wirksamkeit eines bestehenden Informationssicherheitsmanagementsystems (ISMS) zu bewerten – als Ist-Analyse, die sowohl für die Vorbereitung auf eine Zertifizierung als auch für die kontinuierliche Verbesserung der Informationssicherheit genutzt wird.
Audit-Arten im Überblick
Je nachdem, wer das Audit durchführt und zu welchem Zweck, unterscheidet man folgende Audit-Arten:
| Audit-Art | Beschreibung |
|---|---|
Internes Audit | International anerkannter Standard für Informationssicherheitsmanagementsysteme; Grundlage für eine Zertifizierung |
Externes Audit | Branchenstandard der Automobilindustrie zum Nachweis von Informationssicherheit gegenüber OEMs und Zulieferern |
Zertifizierungsaudit | Methodik des Bundesamts für Sicherheit in der Informationstechnik, insbesondere im öffentlichen Sektor verbreitet |
Sonderaudit | Aufsichtsanforderungen der BaFin an die IT von Banken, Versicherungen, Kapitalverwaltungs- und Zahlungsinstituten |
Unabhängig davon, wer ein Audit durchführt, durchläuft jede Zertifizierung auch einen zeitlichen Zyklus: Nach einer Erstzertifizierung folgen in der Regel jährliche Überwachungsaudits sowie nach Ablauf des Zertifizierungszeitraums ein Rezertifizierungsaudit – damit die Informationssicherheit nachweislich auf aktuellem Stand bleibt.
Was wird bei einem Audit geprüft?
Ein vollständiges Audit betrachtet Informationssicherheit aus mehreren Blickwinkeln:
Technisch | Organisatorisch | Physisch | Personell |
Zugriffskontrollen, Verschlüsselung, Patch-Management, Netzwerksegmentierung, Protokollierung und Monitoring – inklusive vollständiger Bestandsaufnahme Ihrer IT-Assets. | Richtlinien, Prozesse, Dokumentation und Datenklassifizierung werden auf Vollständigkeit, Aktualität und Einhaltung rechtlicher Vorgaben geprüft. | Zugangskontrollen zu Serverräumen, Begehungen vor Ort und der Umgang mit schützenswerten Unterlagen und Geräten | Verantwortlichen und Mitarbeitenden zeigen, wie gelebt Sicherheitsrichtlinien im Arbeitsalltag tatsächlich sind. |
So läuft ein Audit mit syracom ab
Vorbereitung
Vor dem Audit
- Festlegung des Auditumfangs
- Sichtung bestehender Dokumente
- Erstellung des Prüfplans
Durchführung
Während des Audits
- Eröffnungsgespräch
- Interviews mit Verantwortlichen
- Technische Stichproben & Begehungen
Nachbereitung
Nach dem Audit
- Erstellung des Auditberichts
- Bewertung festgestellter Abweichungen
- Definition von Korrekturmaßnahmen
Warum sich ein Audit lohnt
Ein Audit ist keine Prüfung im Sinne eines Tests, sondern eine Bestandsaufnahme, die Ihnen hilft, notwendige Maßnahmen gezielt einzuleiten. Ohne diese Ist-Analyse bleiben Schwachstellen oft so lange unentdeckt, bis sie bereits zu einem Sicherheitsvorfall geführt haben – mit entsprechenden finanziellen und rechtlichen Folgen.
Unternehmen reduzieren durch regelmäßige Audits ihr Geschäfts- und Haftungsrisiko und schaffen gleichzeitig Vertrauen bei Kunden, Partnern und Mitarbeitenden. |
Gerade weil in den meisten Fällen menschliches Versagen eine Hauptursache für Sicherheitsvorfälle ist, deckt ein Audit nicht nur technische, sondern auch organisatorische Lücken auf, die im Tagesgeschäft sonst leicht übersehen werden.
Relevante Standards für Ihr Audit
Je nach Branche und Zielsetzung orientiert sich ein Audit an unterschiedlichen Normen:
| Standard | Bedeutung |
|---|---|
ISO/IEC 27001 | International anerkannter Standard für Informationssicherheitsmanagementsysteme |
BSI IT-Grundschutz | Methodik des Bundesamts für Sicherheit in der Informationstechnik, v. a. im öffentlichen Sektor |
TISAX | Branchenstandard der Automobilindustrie für Audits gegenüber OEMs und Zulieferern |
ISO 22301 | Grundlage für Audits im Bereich Business Continuity Management (BCM) |
BAIT / VAIT | Aufsichtsanforderungen der BaFin an die IT von Banken und Versicherungen |
ISO/IEC 27018 | Schutz personenbezogener Daten in der Cloud, ergänzend zu ISO/IEC 27001 |
Unsere Leistungen – Ihr Vorsprung: Alles rund um Ihr Audit
Reifegrad-Checks
Wir überprüfen den aktuellen Reifegrad Ihres bestehenden Informationssicherheitsmanagements – unabhängig von einer anstehenden Zertifizierung.
Zertifizierungsvorbereitung
Wir führen zielgerichtete interne Audits durch, die Sie optimal auf das externe Zertifizierungsaudit vorbereiten.
Laufende Audit-Begleitung
Wir übernehmen die Terminierung und Durchführung Ihrer wiederkehrenden Audits dauerhaft und bieten auf Wunsch Benchmarking und Trendanalysen, um Ihre Entwicklung im Zeitverlauf sichtbar zu machen.
Revisionspläne
Wir erstellen Revisionspläne und prüfen die verschiedenen Bereiche Ihres Unternehmens in einem gemeinsam definierten Turnus.
Lieferantenaudits
Wir prüfen für Sie, ob Ihre Lieferanten und Dienstleister die vereinbarten Sicherheitsanforderungen tatsächlich einhalten.
Interesse geweckt?
Sprechen Sie mich an.
Katharina Siemund
Product Line Manager
Governance, Risk & Compliance / IT-Security
Sprechen Sie mich an.
Katharina Siemund
Product Line Manager
Governance, Risk & Compliance / IT-Security