03 15 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits
Zurück zur ISMS Übersicht
Audits
Um ein hohes Maß an Informationssicherheit zu gewährleisten, müssen in regelmäßigen Abständen interne Audits durchgeführt werden.
Die Terminierung der Audits liegt im Zuständigkeitsbereich des Informationssicherheitsbeauftragten.
Es empfiehlt sich, unter anderem aufgrund der Schnelllebigkeit von IT-Berechtigungen, wechselnder Anwendungen und Systeme, die Audits in einem vierteljährlichen Intervall vorzunehmen.
Aufgabe des Informationssicherheitsbeauftragten ist es, die Terminierung aller Audits bereits am Anfang eines Jahres für das gesamte Kalenderjahr vorzunehmen. Dabei ist es zwingend erforderlich alle Betroffenen und Entscheider, wie Systemadministrator und/oder Datenschutzbeauftragten, entsprechend zu benachrichtigen und einzuladen.
Eine Audit Verschiebung sollte nur dann erfolgen, wenn Informationssicherheitsbeauftragter und/oder Systemadministrator und/oder Datenschutzbeauftragter aus dringlichen Gründen, wie z.B. Krankheit, verhindert sind. Es empfiehlt sich eine Verschiebung und Neuterminierung eines Audits um maximal zwei Wochen um den Rhythmus der quartalsweisen Audits aufrechtzuerhalten und eine kontinuierliche Prüfung zu gewährleisten.
Im Anschluss an die Terminierung erfolgt die Durchführung der Audits.
Hierzu trägt der Informationssicherheitsbeauftragte im Vorfeld alle benötigten Daten zusammen und stellt sie dem Teilnehmerkreis, inklusive einer Termin Agenda, zur Verfügung.
Die Ergebnisse des Audits werden in Asana, dem von Parasol Island genutzten Ticketsystem, festgehalten um anschließend, gemeinsam mit der Geschäftsführung, notwendige Maßnahmen abzuleiten.
Maßnahmenableitung
Nicht später als zwei Wochen nach einem Audit findet eine Ergebnisbesprechung und Maßnahmenableitung zwischen Informationssicherheitsbeauftragten, Geschäftsführung und gegebenenfalls Systemadministrator oder Datenschutzbeauftragten statt.
Die Terminierung nimmt ebenfalls der Informationssicherheitsbeauftragte vor und lädt den entsprechenden Teilnehmerkreis frühzeitig ein. Sollte die Verschiebung eines Audits zwingend notwendig sein, siehe 1., ist auch die Anpassung des Termins zur Maßnahmenableitung entsprechend anzupassen und neu zu terminieren.
Der Informationssicherheitsbeauftragte verschickt eine Termin Agenda und alle notwendigen Dokumente bereits im Vorfeld, mindestens einen Tag im voraus, zur Vorbereitung an den Teilnehmerkreis.
Im Termin informiert der Informationssicherheitsbeauftragte die Teilnehmer über die Ergebnisse der Audits. Gemeinsam werden notwendige Maßnahmen abgeleitet und zur Umsetzung beschlossen.
Die erarbeiteten Maßnahmen werden direkt mit Zuständigkeiten und Umsetzungsterminen im Ticketsystem hinterlegt und nach Möglichkeit im Termin oder im Anschluss der Umsetzungsverantwortliche genauer informiert.
Alle Besprechungsergebnisse, sowie einen aktualisierten Maßnahmenplan, lässt der Informationssicherheitsbeauftragte den Besprechungsteilnehmern zukommen. Bis zum nächsten Audittermin obliegt es seiner Verantwortung, den Stand der Umsetzung der beschlossenen Maßnahmen zu erfragen, zu dokumentieren und gegebenenfalls zu eskalieren.
Agenda
Rechte
Ein wichtiger Teil eines jeden Audits ist die Überprüfung von Rechten innerhalb der Firma. Systemadministrator und Informationssicherheitsbeauftragter gehen bei jedem Audittermin die Benutzerrechte der gängigen Systeme und Anwendungen durch um diese Auf Unregelmäßigkeiten zu überprüfen.
Prüfung der Systeme
Neben der Rechtevergabe wird untersucht welche Systeme auf Geschwindigkeit, Sicherheit und Zuverlässigkeit geprüft werden müssen. Daraus wird abgeleitet welche Tests durchgeführt oder veranlasst werden müssen.
- Weitere Informationen finden sich in der Richtlinie für IT-Administration (02_02) im Kapitel “12. Überprüfung von Informationssystemen”
Sicherheitsereignisse
Vorfälle und Sicherheitsereignisse des letzten Quartals, die dem Informationssicherheitsbeauftragten zugetragen wurden, werden evaluiert und mögliche Absicherungen oder Schutzmaßnahmen beschlossen.
Dokumentation
Alle aus den Audits resultierenden Maßnahmen, Aufgaben und Zuständigkeiten werden über das Ticketsystem verteilt. Auf diese Art und Weise lässt sich nachvollziehen, ob die Aufgaben in der vorgegebenen Zeit umgesetzt wurden oder ob eventuelle Rückfragen entstanden sind.
Eine Zusammenfassung der jeweiligen Termine wird in den jeweiligen Tickets zur nachverfolgung hinterlegt.