IT-Sicherheitsaudit: Kriterien, Nachweise und Kosten
Ein IT-Sicherheitsaudit vergleicht einen vereinbarten Zustand mit festgelegten Anforderungen. Ohne klare Kriterien können ähnlich bezeichnete Angebote sehr unterschiedliche Prüfungen enthalten. Entscheiden Sie vorab, ob Sie eine Bestandsbewertung, einen Kundennachweis, eine Vorbereitung oder die Kontrolle früherer Massnahmen benötigen. Ein Prüfbericht ist keine pauschale Sicherheits- oder Rechtsgarantie.
Prüfziel und Kriterien zuerst vereinbaren
Für eine interne Verbesserung können ausgewählte Risiken und Kontrollen im Mittelpunkt stehen. Ein Kundennachweis oder eine Zertifizierungsvorbereitung verlangt möglicherweise bestimmte Kriterien und eine definierte Form des Ergebnisses. Benennen Sie deren Version und Geltungsbereich.
Ob besondere Vorgaben gelten, hängt unter anderem von Tätigkeit und Sektor ab. Eine allgemeine Empfehlung ist nicht automatisch für jedes Unternehmen verbindlich. Lassen Sie relevante Anforderungen gesondert einordnen statt einen beliebigen Auditnamen als Rechtsnachweis zu verwenden.
Organisation und Systeme abgrenzen
Definieren Sie betroffene Einheiten, Standorte, Systeme und ausgelagerte Dienste. Stichproben können angemessen sein, müssen aber im Bericht erkennbar bleiben. Ein Bereich, den der Anbieter nicht untersucht hat, darf nicht stillschweigend als geprüft gelten.
| Bereich | Möglicher Nachweis |
|---|---|
| Zugriffe | Freigabe, Entzug und regelmässige Überprüfung |
| IT-Betrieb | Aktuelle Bestände, Änderungen und Updates |
| Wiederherstellung | Planung und tatsächliche Testnachweise |
| Organisation | Verantwortlichkeiten und gelebte Verfahren |
Dokumente, Gespräche und technische Prüfungen kombinieren
Eine Richtlinie zeigt, was vorgesehen ist. Gespräche und geeignete Nachweise können zeigen, ob der Ablauf tatsächlich stattfindet. Vereinbaren Sie, welche Beobachtungen und Stichproben das Ergebnis tragen sollen.
Ein Schwachstellenscan oder Penetrationstest kann ein gesonderter Teil sein, ist aber nicht automatisch in jedem Audit enthalten. Technische Tests benötigen ausdrücklichen Umfang, Freigabe und Regeln für den laufenden Betrieb.
Vorbereitung und vertrauliche Unterlagen planen
Benennen Sie Ansprechpartner für Betrieb, Organisation und wichtige Dienste. Eine Übersicht der Systeme und vorhandenen Richtlinien erleichtert die Planung. Fehlende Dokumente sollten sichtbar sein, ohne sie nur für den Prüftag als gelebten Prozess darzustellen.
Vereinbaren Sie sichere Bereitstellung, zulässige Einsicht, Aufbewahrung und Löschung. Die erste Offertanfrage braucht keine Passwörter, personenbezogenen Kontenlisten oder vollständigen Sicherheitsberichte. Interne Vorbereitung und Gesprächszeit gehören zur Planung.
Befunde an Kriterien und Risiko binden
Der Bericht sollte Kriterien, geprüften Umfang, Zeitpunkt, Methode und Grenzen benennen. Trennen Sie bestätigte Abweichungen, nicht verfügbare Nachweise und Verbesserungsvorschläge. Eine verständliche Zusammenfassung hilft der Leitung, Entscheidungen zu treffen.
Priorisieren Sie nach Bedeutung für die Geschäftsabläufe und weisen Sie Massnahmen Verantwortlichen zu. Ein Gesamtwert allein erklärt nicht, welche Lücke wichtig ist. Bereits behobene Punkte müssen nachvollziehbar von weiterhin offenen unterschieden werden.
Den gesamten Prüfauftrag vergleichen
Kosten hängen von Umfang, Kriterien, Standorten, Gesprächsaufwand und Tiefe der Nachweise ab. Vergleichen Sie dieselben Prüfbereiche und Lieferleistungen. Ein kurzes Gespräch mit Checkliste ist ein anderer Auftrag als eine vertiefte Prüfung mit technischen Tests.
Lassen Sie Besprechung, Massnahmenplan und Nachprüfung gesondert benennen. Behebung und formale Zertifizierung sind nicht automatisch durch den Auditbericht bezahlt oder zugesichert.
| Kostenpunkt | Vergleichbare Vereinbarung |
|---|---|
| Planung | Ziel, Kriterien und Stichproben |
| Prüfung | Dokumente, Gespräche und technische Verfahren |
| Ergebnis | Bericht, Prioritäten und Abschlussgespräch |
| Nachprüfung | Welche früheren Abweichungen geprüft werden |
| Zusatzleistungen | Behebung, Beratung oder Zertifizierung getrennt |
Ergebnisse in einen nachvollziehbaren Ablauf überführen
Halten Sie für jede wichtige Massnahme Verantwortung, nächsten Schritt und Zieltermin fest. Vereinbaren Sie, welche Nachweise die Erledigung bestätigen und wann eine Nachprüfung erfolgen soll. Ein neuer Bericht ohne bearbeitete Ursachen verbessert den Betrieb nicht automatisch.
Für erste Offerten genügen Anlass, betroffene Bereiche, Organisationsgrösse, Standorte und bekannte Kriterien. Ein kurzer Hinweis auf gewünschte Nachweise oder einen früheren Auditumfang verhindert Missverständnisse. Der Auftrag bleibt auf die ausdrücklich vereinbarte Prüfung begrenzt.
Häufige Fragen
Ist ein Audit dasselbe wie ein Penetrationstest?
Nein. Ein Audit bewertet vereinbarte Anforderungen und Nachweise. Ein Penetrationstest untersucht freigegebene Systeme technisch; er kann separat dazugehören.
Welche Kriterien sollte ich nennen?
Bekannte interne Vorgaben, Kundenanforderungen oder eine konkrete Norm mit Version. Wenn die Grundlage offen ist, lassen Sie sie vor dem Auftrag gemeinsam festlegen.
Muss jedes Unternehmen denselben Audit machen?
Nein. Zweck, Risiken und anwendbare Vorgaben unterscheiden sich. Sektorspezifische Pflichten müssen gesondert eingeordnet werden.
Ist eine Zertifizierung im Audit enthalten?
Nicht automatisch. Vorbereitung, interne Prüfung und formale Zertifizierung sind unterschiedliche Aufgaben und müssen ausdrücklich benannt werden.
Was passiert bei fehlenden Nachweisen?
Der Bericht sollte diese Lücke transparent festhalten. Fehlende Unterlagen sind kein Beleg, dass eine Massnahme tatsächlich funktioniert.
Was sollte eine Nachprüfung bestätigen?
Die vereinbarten Korrekturen und ihre Nachweise. Sie ersetzt nicht automatisch eine vollständige erneute Bewertung aller Bereiche.
