Cybersicherheitsaudit

Was ist ein Audit?

Ein Cybersicherheitsaudit bewertet Vorhandensein und Wirksamkeit der Maßnahmen, die eine Organisation zum Schutz ihrer Informationswerte eingerichtet hat. Es beschränkt sich nicht auf technische Maßnahmen: Governance-Elemente wie Richtlinien, Berechtigungen, Lieferantensteuerung und Vorfallreaktion gehören dazu.

Warum wird sie durchgeführt?

Ziel ist, Angriffsfläche und Lücken in den Maßnahmen zu erkennen, bevor ein Vorfall eintritt.

Wer beauftragt es?

Technologieunternehmen, deren Kunden Sicherheitszusicherungen verlangen
Organisationen, die ISO/IEC 27001 einführen oder aufrechterhalten
Unternehmen in kritischen Infrastrukturen und regulierten Branchen
Organisationen, die Kartendaten verarbeiten (im Geltungsbereich von PCI DSS)
Unternehmen im Anwendungsbereich einer Lieferanten-Sicherheitsbewertung

Auditkriterien

Das Kriterium ist der angewandte Rahmen: die Kontrollen aus Anhang A von ISO/IEC 27001, IEC 62443 (industriell), PCI DSS, das NIST CSF oder die CIS Controls. Die direkte Anwendung eines IT-Rahmens in einer industriellen Umgebung führt zu falschen Ergebnissen; es müssen für OT geeignete Kriterien gewählt werden.

Auditumfang

Informationssicherheitsrichtlinien und Governance-Struktur
Bestandsverzeichnis und Klassifizierung der Werte
Der Risikobewertungsprozess und die Erklärung zur Anwendbarkeit
Identitäts- und Zugriffsmanagement, privilegierte Konten
Netzwerksegmentierung und Perimeter-Sicherheit
Endpunktschutz und Patch-Management
Kryptografie und Schlüsselmanagement
Protokollierung, Überwachung und Erkennungsfähigkeiten
Backup- und Wiederherstellungstests
Praktiken der sicheren Softwareentwicklung
Sicherheit von Lieferanten und Cloud-Dienstanbietern
Der Vorfallreaktionsplan und die zugehörigen Übungen
Geschäftskontinuität und Notfallwiederherstellung
Sensibilisierungsschulungen und der menschliche Faktor

Zugehörige Normen

ISO/IEC 27001
ISO/IEC 27002
IEC 62443
PCI DSS
NIST CSF
ISO 19011

Auditablauf

1Auswahl der anzuwendenden KriterienEs wird festgelegt, nach welcher Norm, welchem Programm oder welcher Vorschrift auditiert wird; bei themenbezogenen Audits bestimmt die Kriterienwahl unmittelbar die Aussagekraft des Ergebnisses.
2Risikobewertung und UmfangRisikobereiche werden nach Tätigkeit und Standort der Organisation bestimmt; die Zahl der Audittage wird entsprechend geplant.
3Prüfung von Dokumenten und AufzeichnungenPolitik, Verfahren, Genehmigungen, Messaufzeichnungen und Ergebnisse früherer Audits werden geprüft.
4Audit vor OrtDie betroffenen Bereiche werden begangen; themenspezifische Messungen, Beobachtungen und Aufzeichnungskontrollen erfolgen.
5MitarbeitergesprächeSofern das Thema es erfordert, werden vertrauliche Gespräche mit Beschäftigten unabhängig von der Leitung geführt; Aussagen werden mit den Aufzeichnungen abgeglichen.
6Bewertung der RechtskonformitätDie Einhaltung geltender Vorschriften wird gesondert geprüft; ein Rechtsverstoß ist in jedem Programm die schwerwiegendste Feststellungskategorie.
7Berichterstattung über die FeststellungenDie Feststellungen werden nach Schweregrad klassifiziert und zu einem Bericht zusammengefasst.
8Korrekturmaßnahmen und NachverfolgungEin Korrekturmaßnahmenplan wird eingeholt; sein Abschluss innerhalb der vom Programm vorgesehenen Frist wird verfolgt.

Feststellungen

Feststellungen werden nach Risikostufe priorisiert. Eine direkt ausnutzbare Schwachstelle und ein fehlendes Richtliniendokument haben nicht das gleiche Gewicht; diese Unterscheidung wird im Bericht ausdrücklich getroffen, und die Reihenfolge der Behebung wird risikobasiert empfohlen.

Auditbericht

Angaben zu Auditstelle, Auditor und auditierter Seite
Angewandte Norm, Programm oder Vorschrift
Datum, Dauer und Umfang des Audits
Befunde aus der Prüfung von Dokumenten und Aufzeichnungen
Beobachtungen vor Ort und Messergebnisse
Ergebnisse der Mitarbeitergespräche, sofern geführt
Bewertung der Rechtskonformität
Feststellungen, deren Schweregrad und die Nachweise
Korrekturmaßnahmenplan und Fristen

Grenzen des Ergebnisses

Ein Cybersicherheitsaudit bewertet, ob Kontrollen vorhanden sind und wie sie konzipiert sind; es garantiert nicht, dass jede Kontrolle jederzeit wirksam funktioniert. Das Audit zeigt den Zustand zu einem bestimmten Zeitpunkt, und die Bedrohungslage verändert sich ständig. Das Audit ist zudem kein Penetrationstest: Ob Schwachstellen tatsächlich ausnutzbar sind, ist Gegenstand eines separaten technischen Tests.

Akkreditierung

Die Akkreditierung hängt von der Auditart ab. Drittparteienaudits als Grundlage der Managementsystemzertifizierung erfolgen nach ISO/IEC 17021-1, solche für die Produktzertifizierung nach ISO/IEC 17065; diese Bereiche unterliegen der Akkreditierung. Erst- und Zweitparteienaudits sowie Audits nach eigenen Regeln eines Programmeigners (etwa SMETA oder amfori BSCI) fallen nicht unter akkreditierte Zertifizierung; sie folgen dem Leitfaden ISO 19011 und erzeugen einen Bericht. EUROLAB verfügt über international anerkannte Akkreditierungen nach ISO/IEC 17021-1 und ISO/IEC 17065 von Unterzeichnerstellen der IAF-Vereinbarung; welches Audit im akkreditierten Umfang angeboten werden kann, wird im Angebotsstadium schriftlich bestätigt.

Geltungsbereich und Befugnisse

Zugehörige Audits

Häufige Fragen

Was ist der Unterschied zwischen einem Audit und einem Penetrationstest?

Ein Audit bewertet das Vorhandensein von Kontrollen und die Governance; sein Umfang ist breit. Ein Penetrationstest prüft dagegen aus Angreiferperspektive, ob Schwachstellen tatsächlich ausnutzbar sind; sein Umfang ist eng, aber tief. Beide ergänzen sich gegenseitig.

Gilt dasselbe Audit auch für unsere Industriesysteme?

Nein. In der operativen Technologie ist die Prioritätenreihenfolge anders: Verfügbarkeit und Prozesssicherheit stehen vor Vertraulichkeit; zudem können Systeme möglicherweise nicht gepatcht werden, und Ausfallzeiten werden nicht toleriert. In dieser Umgebung sollte IEC 62443 als Kriterium herangezogen werden.

Erhalte ich infolge dieses Audits ein Zertifikat?

Das hängt von dem Rahmen ab, unter dem das Audit durchgeführt wird. Wird es im Rahmen eines akkreditierten Zertifizierungssystems durchgeführt, kann es zu einem Zertifikat führen; das Ergebnis eines auf Kundenwunsch oder zur internen Bewertung durchgeführten Audits ist ein Bericht.

Wird auch die Rechtskonformität geprüft?

Ja, und in jedem themenspezifischen Audit ist die rechtliche Nichteinhaltung die schwerwiegendste Feststellungskategorie. Ganz gleich, wie gut das Managementsystem eingerichtet ist – ein festgestellter Verstoß gegen geltendes Recht wird stets mit oberster Priorität gemeldet.