Nein, eine Checkliste deckt nur die erste Hälfte eines Audits ab. Sie geht die Abschnitte und Maßnahmen durch und fragt, ob es jeweils eine Richtlinie oder ein Verfahren gibt. Damit stellen Sie sicher, dass nichts übersprungen wird, und viele Auditoren setzen sie genau dafür ein.
Die zweite Hälfte sind Nachweise, dass die Maßnahmen tatsächlich gelebt werden, und die liefern nur Stichproben und Interviews. Drei Beispiele:
- Entzug von Zugängen: Nehmen Sie fünf Mitarbeitende, die im letzten Jahr ausgeschieden sind, und prüfen Sie im Identity Provider, wann das jeweilige Konto deaktiviert wurde, verglichen mit dem letzten Arbeitstag.
- Deployments: Wählen Sie fünf Produktivänderungen aus dem Deployment-Log und sehen Sie nach, ob es für jede vor dem Go-live ein genehmigtes Ticket gab.
- Phishing: Fragen Sie drei Personen aus verschiedenen Teams, was sie mit einer verdächtigen E-Mail tun, und vergleichen Sie die Antworten mit der Richtlinie.
Eine Liste mit reinen Ja-Nein-Antworten zeigt nichts davon. Wenn Sie mit einer Checkliste arbeiten, ergänzen Sie zwei Spalten: den Nachweis, den Sie angesehen haben, und die Stichprobe, die Sie gezogen haben. Sind diese ausgefüllt, wird daraus ein Auditprotokoll, und genau diese beiden Spalten liest der Zertifizierungsauditor zuerst.