Beispiel-Audit – Zutrittskontrolle nach ISO 27001 und IT-Grundschutz

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Prüfungstyp und Prüfungsfragen

Nach dem Erstellen der Tabelle mit den benötigten Prüfungen ist festzulegen, welcher Prüfungstyp beim Audit eingesetzt werden soll. In vielen Fällen sind das Interviews oder Begehungen, bei denen die einzelnen Punkte zusammen mit dem Ansprechpartner durchgegangen und entsprechende Notizen angefertigt werden.

Verfügt der Auditor über entsprechende Fachkenntnisse, so ist auch das Studium von Dokumenten oder ein Security-Scan denkbar. Penetrationstests hingegen sollten besser von externen Spezialisten durchgeführt werden, damit auch wirklich alle Sicherheitslücken gefunden werden. Der Prüfungstyp wird mit einem Kürzel in die dazu gehörige Spalte eingetragen.

Nun bleibt noch die Frage offen, wie genau die Umsetzung der betreffenden Maßnahme letztlich überprüft werden soll. Erfahrene Auditoren können die betreffenden Fragestellungen mehr oder weniger „aus dem Bauch“ formulieren.

Bei Unsicherheiten über diesen Punkt ist es empfehlenswert, in die Maßnahmen der BSI-Kataloge zu schauen. Im Zweifelsfall können die BSI-Kontrollfragen einen Anhaltspunkt geben, worauf beim Audit zu achten ist.

Die BSI-Maßnahme M 2.6 Vergabe von Zutrittsberechtigungen beispielsweise enthält die Kontrollfragen

• Wurde der Schutzbedarf der verschiedenen Arten von Räumen bestimmt?
• Wurde festgelegt, welche Zutrittsrechte an welche Personen im Rahmen ihrer Funktionen vergeben wurde?
• Ist die Dokumentation der Zutrittsberechtigungen aktuell? Umfasst sie alle schutzbedürftigen Räume?

Aber auch jenseits der Kontrollfragen bieten die BSI-Maßnahmen Inspiration zur inhaltlichen Ausgestaltung des Audits.

Inhalt

• Seite 1: Vorbereitung von Audit-Katalogen
• Seite 2: Prüfungstyp und Prüfungsfragen
• Seite 3: Auswertung des Audits

(ID:2048744)