Als Nachweis gilt jede Aufzeichnung, die zeigt, dass eine Maßnahme tatsächlich umgesetzt wurde. Typische Beispiele:
- ein Ticket für eine Zugriffsanfrage mit der Freigabe der Führungskraft und einem Zeitstempel
- eine Berechtigungsprüfung mit Datum, prüfender Person und den geänderten Konten
- ein Schulungsprotokoll, aus dem hervorgeht, wer die Security-Awareness-Schulung wann abgeschlossen hat
- ein Wiederherstellungstest des Backups mit Datum und Ergebnis
- eine unterschriebene Akzeptanz eines Risikos, das das Unternehmen bewusst trägt
- eine Lieferantenbewertung für einen Cloud-Anbieter, der Ihre Daten verarbeitet
Eine Richtlinie beschreibt, was geschehen soll. Anhand der Aufzeichnungen prüft der Auditor dann, ob es auch so gekommen ist.
Der Inhalt zählt mehr als die Form. Ein Export aus dem System ist am stärksten, weil er seine eigenen Zeitstempel mitbringt. Ein datierter Screenshot, auf dem erkennbar ist, wo er aufgenommen wurde, funktioniert ebenfalls. Eine Aussage wie „Das machen wir immer so“ ist allein schwach, kann den Auditor aber zu den richtigen Unterlagen führen.
Der Auditor arbeitet mit Stichproben. Er nimmt eine Handvoll ausgeschiedener Mitarbeitender, Änderungen oder Lieferanten und sieht sich zu jedem den Nachweis an. Eine Maßnahme, die keine Spuren hinterlässt, kann nicht als wirksam gelten, und das ergibt eine Feststellung, auch wenn alle sich einig sind, dass sie stattfindet.