IT Wissen
IT-Audit vorbereiten: Die Checkliste für weniger Stress und bessere Nachweise
Scope, Nachweise und Verantwortliche vor dem Audit ordnen, ohne in letzter Minute Dokumente zu erfinden.
Zusammenfassung
- Ein Audit prüft belegbare Praxis, nicht die Menge der Richtlinien.
- Scope, Systemliste und Verantwortlichkeiten müssen vor der Evidenzsammlung klar sein.
- Stichproben sollten zeigen, dass Kontrollen wiederholt funktionieren.
Ein IT-Audit wird vorbereitet oder erlitten. Der Unterschied liegt nicht im Bürokratieaufwand, sondern in einer Frage: Können Sie zeigen, dass Ihre Kontrollen wiederholt funktionieren? Ein Screenshot von gestern beeindruckt niemanden, der heute fragt, wie es letzten Jänner aussah.
Scope sauber ziehen
Standorte, Gesellschaften, Systeme, Cloud-Dienste und ausgelagerte Leistungen, die geprüft werden, stehen zu Beginn schriftlich fest. Abgrenzungen brauchen eine Begründung: Ein System außerhalb des Scopes darf keine versteckte Abhängigkeit des geprüften Dienstes sein.
Evidenz aus dem Betrieb
Geeignet sind genehmigte Tickets, Patch- und Backupberichte, Restore-Protokolle, Berechtigungsstichproben, Schulungsnachweise und Protokolle von Alarmtests. Jede Evidenz hat Datum und Zeitraum, denn ein perfekter Monat beweist keinen Jahresprozess.
Offene Punkte gehören in den Bericht: Risiko, Eigentümer, Termin. Ein transparenter Maßnahmenplan überzeugt mehr als die Behauptung, alles sei erledigt.
Die Prüferperspektive üben
Führen Sie den Vorabcheck intern: Ziehen Sie fünf Stichproben aus Berechtigungen, Patches und Backups und prüfen Sie, ob Sie die Fragen beantworten können, ohne Dinge neu zu erfinden.
Was ein Audit abdeckt
Ein technisches Audit untersucht einen vereinbarten Umfang und stützt sich häufig auf Stichproben. Es ersetzt nicht automatisch eine Zertifizierung oder eine umfassende Prüfung. Klären Sie vorab, was geprüft wird und wie die Ergebnisse verwendet werden.
Konkrete nächste Schritte
- Scope und Abgrenzungen schriftlich fixieren.
- Evidenzliste mit Eigentümer und Zeitraum erstellen.
- Fünf Stichproben intern durchspielen.
- Offene Punkte in einen priorisierten Plan überführen.
vetosec begleitet technische Audits mit nachvollziehbaren Nachweisen und klaren Befunden. Wenn Sie eine formale Zertifizierung benötigen, klären Sie vorab die Anforderungen und geeignete Zertifizierungsstellen.
