Der Auditor braucht so viel technisches Verständnis, dass er die Nachweise beurteilen kann. Er sollte erkennen, ob eine Berechtigungsprüfung tatsächlich Berechtigungen geprüft oder nur Benutzer aufgelistet hat und ob ein Wiederherstellungstest zeigt, dass das Backup funktioniert. Klingt eine Antwort zu glatt, muss er gezielt nachhaken.
Wichtiger sind die Auditmethode und die Kenntnis der Norm. Ein Auditor muss sinnvolle Stichproben ziehen, Interviews führen, ohne Antworten vorzugeben, eine Maßnahme von der Richtlinie über das Verfahren bis zur Aufzeichnung verfolgen und seine Feststellungen einstufen. Ein erfahrener Engineer ohne diese Ausbildung prüft meist, wie er das System selbst gebaut hätte, und beantwortet damit eine andere Frage als die, um die es der Norm geht.
Für Bereiche mit hohem technischem Anspruch, etwa Cloud-Konfiguration, Netzwerksegmentierung oder sichere Entwicklung, lässt der Audit-Leitfaden ISO 19011 die Unterstützung durch einen Fachexperten ausdrücklich zu. In der Praxis kann das ein Cloud-Security-Spezialist sein, der für einen halben Tag dazukommt und gemeinsam mit dem Auditor das AWS-Setup durchsieht. Die Verantwortung für die Feststellungen bleibt dabei beim Auditor.
Für ein typisches SaaS-Unternehmen bewährt sich eine Mischung: ein Auditor, der sich mit Cloud-Umgebungen und Identity Management auskennt, und ein Spezialist auf Abruf für die wenigen Themen, die tiefer gehen.