Kurz gesagt

  • Ein Audit prüft belegbare Praxis, nicht die Menge der Richtlinien.
  • Scope, Systemliste und Verantwortlichkeiten müssen vor der Evidenzsammlung klar sein.
  • Stichproben sollten zeigen, dass Kontrollen wiederholt funktionieren.

Eine gute Auditvorbereitung macht nicht alles schön. Sie schafft einen klaren Scope, zeigt vorhandene Kontrollen ehrlich und trennt belegte Praxis von offenen Verbesserungen. Das ist glaubwürdiger als kurzfristig erstellte Richtlinien ohne Umsetzung.

Scope und Ansprechpartner

Listen Sie Standorte, Gesellschaften, Systeme, Cloud-Dienste und ausgelagerte Leistungen auf, die tatsächlich geprüft werden. Benennen Sie je Themengebiet eine Person, die Prozess und Nachweis erklären kann.

Abgrenzungen brauchen eine Begründung. Ein System außerhalb des Scope darf keine unerkannte Abhängigkeit für den geprüften Dienst sein.

Nachweise aus dem Betrieb

Geeignete Evidenz sind genehmigte Tickets, Systemexporte, Protokolle, Restore-Berichte, Schulungsnachweise und Stichproben aus Berechtigungen. Screenshots ohne Datum oder Kontext sind schwach.

Wählen Sie Stichproben über einen realistischen Zeitraum. Ein einzelner perfekter Monat beweist keinen stabilen Jahresprozess.

Feststellungen vorwegnehmen

Führen Sie einen kurzen internen Vorabcheck durch. Offene Punkte werden mit Risiko, Verantwortlichem und Zieltermin dokumentiert. Ein transparenter Maßnahmenplan ist besser als eine unbelegte Behauptung, alles sei erledigt.

Konkrete nächste Schritte

  1. Auditumfang und Abhängigkeiten schriftlich festhalten.
  2. Eine Evidenzliste mit Eigentümer und Zeitraum erstellen.
  3. Berechtigungen, Patches, Backups und Vorfälle stichprobenartig prüfen.
  4. Offene Punkte in einen priorisierten Maßnahmenplan überführen.

vetosec führt technische Security Assessments und Audits mit verständlichen Befunden durch. Eine formale Zertifizierung wird nur von dafür akkreditierten Stellen erteilt.

Passende Inhalte von vetosec

Primärquellen