Ihr Audit in 5 Schritten vorbereiten, ohne eine Woche Screenshots

Der Auditor kommt in zwei Wochen. Sie erhalten eine Liste mit vierzig Nachweisen: Zugriffslisten, Patch-Übersichten, Backup-Berichte, Vorfallprotokolle. Sie wissen, dass alles irgendwo existiert. In den kommenden Tagen sind Sie vor allem mit Suchen beschäftigt.

Das geht anders. Nicht mit einem Wundermittel, sondern mit einer Gewohnheit: Nachweise dann sammeln, wenn sie entstehen, statt im Nachhinein. Im Folgenden fünf Schritte dorthin.

Warum der übliche Ansatz so viel Zeit kostet

Oft beginnt das Sammeln erst, wenn der Auditor seine Liste schickt. Die Kolleginnen und Kollegen machen Screenshots, ziehen Exporte und suchen E-Mails heraus. Bis alles beisammen ist, ist ein Teil schon wieder veraltet. Und beim nächsten Audit beginnt es von vorn. Das eigentliche Problem ist nicht der Auditor. Es ist, dass der Nachweis erst in dem Moment entsteht, in dem jemand danach fragt.

Schritt 1: Automatisch an einer Stelle protokollieren

Sorgen Sie dafür, dass Sicherheitsereignisse von selbst festgehalten werden: Anmeldungen, Rechteänderungen, Verwaltungsaktionen und Konfigurationsänderungen. Führen Sie sie an einer Stelle zusammen, damit Sie nicht pro System suchen müssen. Legen Sie auch fest, wie lange Sie Protokolle aufbewahren. Ein Audit betrifft oft ein ganzes Jahr, eine Aufbewahrungsfrist von einem Monat hilft Ihnen also nicht.

Schritt 2: Nachweise von selbst hereinkommen lassen

Prüfen Sie pro Nachweis, ob es automatisch geht. Denken Sie an einen monatlichen Export von Nutzern und Rechten, einen Backup-Bericht, der in einen festen Ordner geht, oder ein Skript, das den Patch-Stand wegschreibt. Ein GRC-Tool kann helfen. Ein gut organisierter Ordner mit festen Dateinamen funktioniert auch. Beginnen Sie mit den fünf Nachweisen, die bei jedem Audit wiederkehren, und automatisieren Sie diese zuerst.

Schritt 3: Nachweise mit Controls verknüpfen

Erstellen Sie eine Tabelle: Welcher Nachweis gehört zu welchem Control in ISO 27001 oder NIS2? Viele Nachweise zählen für mehrere Rahmenwerke gleichzeitig. Ein Rechte-Review ist zum Beispiel für beide verwendbar.

Halten Sie die Tabelle einfach. Pro Zeile: der Nachweis, die Controls, für die er zählt, die verantwortliche Person, wie oft er nötig ist und wo er liegt. Mehr Spalten brauchen Sie selten.

Schritt 4: Einen Nachweiskalender einrichten

Manche Nachweise sind periodisch. Tragen Sie sie in einen Kalender ein, mit einer verantwortlichen Person und einem festen Ablageort für das Ergebnis. Ein einfacher Anfang:

• Jeden Monat: ein Rechte-Review der Administratorkonten und ein Test mit einem zurückgespielten Backup.
• Jedes Quartal: ein Review der Anbieter und ihrer Unterauftragsverarbeiter.
• Jedes Jahr: eine Planübung für Vorfälle, eine Überarbeitung der Sicherheitsrichtlinie und eine Sensibilisierungsschulung.

Stellen Sie den Kalender dort auf, wo Ihre Kolleginnen und Kollegen ihn sehen, nicht nur in Ihrem eigenen Kalender.

Schritt 5: Ein Probe-Audit durchführen

Bitten Sie eine Kollegin oder einen Kollegen, die das System nicht kennt, zehn beliebige Nachweise anzufordern. Können Sie sie innerhalb einer Stunde liefern? Was nicht gelingt, setzen Sie auf die Liste. So finden Sie die Lücken, bevor der Auditor sie findet. Machen Sie es einen Monat vor dem echten Audit, dann haben Sie Zeit, sie zu schließen.

Wer macht was?

Nachweise zu sammeln ist keine Aufgabe für eine einzelne Person. Geben Sie jedem Nachweis dort eine verantwortliche Person, wo er entsteht: die Systemadministration für Rechte und Patches, die Personalabteilung für Ein- und Austritte, der IT-Support für Vorfälle. Sie führen den Kalender und prüfen, ob alles rechtzeitig eingeht.

Was es bringt

Sie suchen den Nachweis nicht mehr, denn er liegt schon bereit. Und Sie sehen das ganze Jahr über, wo Sie stehen, auch in der Woche vor dem Audit.

Auf unserer Compliance-Seite lesen Sie, welche technischen Maßnahmen Noveu anwendet.