Informationssicherheitsaudit (ISMS-Audit)

Leistungen

Ihr Weg zum erfolgreichen ISMS-Audit

Elementarer Bestandteil eines jeden funktionierenden Informationssicherheits-Managementsystems (ISMS) sind Audits, welche die Umsetzung und Wirksamkeit Ihrer getroffener Sicherheitsmaßnahmen überprüfen sowie bestehende Risiken bei Dienstleistenden und im eigenen Unternehmen identifizieren. Bei einem zertifizierten ISMS ist dieses elementarer Bestandteil der Normenanforderungen und muss regelmäßig durchgeführt werden.

Sowohl interne Audits, als auch Lieferantenaudits sollten immer individuell auf Ihr ISMS und die von Ihnen zu schützenden Informationen abgestimmt sein.

Im Regelfall sollten Informationssicherheitsaudits zu folgenden Gelegenheiten durchgeführt werden:

• Bei Einführung eines ISMS, um den aktuellen Stand der schon umgesetzten Maßnahmen zu beurteilen und noch notwendige Maßnahmen zu ermitteln.
• Bei Änderungen an Prozessen, z. B. um Schwachstellen durch geänderte IT-Systeme festzustellen.
• Beim Wechsel des Informationssicherheitsbeauftragten.
• Als regelmäßige Überwachungsaudits, z. B. um jährlich Dienstleistende und Lieferanten zu überprüfen und dabei auch die Umsetzung datenschutzrelevanter Maßnahmen gem. Art. 32 DS-GVO intern und im Rahmen von Auftragsverarbeitungen zu prüfen.
• Vor dem Einsatz neuer Dienstleister, um Risiken für die eigene Informationssicherheit möglichst frühzeitig aufzudecken.
• Als regelmäßige interne Audits zur Normerfüllung (z.B. Kapitel 9 ISO 27001).

ISMS-Audits werden üblicherweise von internen oder externen Informationssicherheitsbeauftragten durchgeführt.

Um die Durchführung vom ISMS-Audit optimal zu gestalten, hat sich folgendes Vorgehen bewährt:

• Erstellung eines Auditplans z. B. anhand der Informationssicherheits- und Auditziele
• Abstimmung des zeitlichen und inhaltlichen Umfangs mit den beteiligten Personen
• Anforderung und Prüfung von Dokumenten z. B. Verträge, Zertifikate, Sicherheitskonzepte und Richtlinien
• Ermittlung des IST-Zustandes z. B. durch Interviews und Begehungen der Räumlichkeiten
• Abgleich mit vorher definierten SOLL-Zustand z. B. Vorgaben durch die Norm oder vertraglich zugesicherten Maßnahmen

Dokumentation des Audits und Bewertung z. B. in Form eines Auditberichts mit konkreten Feststellungen für Abweichungen von der Norm in textlicher und grafischer Darstellung