ISO 27001 internes Audit: das Audit, bei dem Feststellungen nichts kosten

Was ein internes Audit ist

Ein Informationssicherheits-Managementsystem (ISMS) ist die Gesamtheit der Prozesse, mit denen Sie Informationen schützen. ISO 27001 verlangt, dass Sie dieses System in geplanten Abständen selbst überprüfen. Diese Prüfung ist das interne Audit, und sie steht in Klausel 9.2 der Norm.

Vier Dinge, die es nicht ist:

• Es ist nicht das Zertifizierungsaudit. Das führt eine externe Zertifizierungsstelle durch, und es entscheidet, ob Sie Ihr Zertifikat bekommen.
• Es ist kein technischer Test. Ein Penetrationstest prüft Ihre Systeme. Ein internes Audit prüft, ob Ihr Unternehmen das tut, was es über sich selbst sagt.
• Es ist keine einmalige Sache. Es wiederholt sich, in der Regel einmal im Jahr und zusätzlich, wenn sich etwas Größeres ändert: ein neues Produkt, ein Wechsel des Cloud-Anbieters, eine Fusion, eine Umstrukturierung, die Zuständigkeiten verschiebt.
• Es ist keine Formalität. Klausel 9.2 verlangt eine echte Prüfung, mit geplantem Umfang, unparteiischen Auditoren und dokumentierten Ergebnissen.

Klausel 9.2 verlangt zwei Antworten. Entspricht Ihr ISMS den Regeln, die Sie sich selbst gegeben haben, und den Anforderungen der Norm, und funktioniert es in der Praxis tatsächlich. Beides zählt. Eine perfekte Richtlinie, an die sich niemand hält, scheitert an der zweiten Frage.

Wer es durchführen darf

Eine Regel entscheidet darüber: Niemand auditiert die eigene Arbeit. Die Norm nennt das Objektivität und Unparteilichkeit, und es ist das Erste, worauf Zertifizierungsauditoren bei Ihrem internen Audit schauen.

In der Praxis funktionieren drei Varianten:

• Jemand aus einem anderen Team. Ihre Betriebsleitung auditiert den Eintritts- und Austrittsprozess. Wer diesen Prozess verantwortet, auditiert dafür etwas im Betrieb. Keiner von beiden benotet die eigene Hausaufgabe.
• Jemand aus der Unternehmensgruppe. Eine Kollegin oder ein Kollege aus einer Schwestergesellschaft oder von einem anderen Standort.
• Ein Auditor von außen. Vollständig unabhängig von Ihrem Unternehmen.

Das ehrliche Problem der ersten beiden Varianten sind wohlwollende Feststellungen. Wer morgen wieder neben Ihnen sitzt, rundet auf, lässt die unangenehme Stichprobe aus und schreibt „geringfügig“, wo jemand von außen deutlicher würde. Das ist keine Unehrlichkeit, das ist menschlich. Eine externe Person hat nichts zu verlieren, und was sie aufschreibt, ist das, was ein Zertifizierungsauditor ebenfalls sehen würde.

Sie brauchen dafür keinen zertifizierten Lead Auditor. Sie brauchen eine fachlich geeignete Person, die das Geprüfte nicht selbst aufgebaut hat.

Was der Auditor tatsächlich prüft

Ein interner Auditor arbeitet drei Fragen ab, in dieser Reihenfolge.

Gibt es das überhaupt? Existiert ein schriftlicher Prozess, zum Beispiel eine Zugriffsrichtlinie, die festlegt, wer Zugriffe genehmigt und wie oft sie überprüft werden.

Passt es zusammen? Der Prozess muss erfüllen, was die Norm verlangt, und was Sie an anderer Stelle zugesagt haben. Wenn Ihre Richtlinie eine quartalsweise Berechtigungsprüfung vorsieht und Ihr Kundenvertrag eine monatliche, stimmt etwas nicht, bevor überhaupt jemand ein System öffnet.

Tun die Leute es auch? Hier geht die meiste Zeit hin, und hier zählen Nachweise statt Erklärungen. Ein Nachweis ist eine Aufzeichnung darüber, dass etwas passiert ist: ein datiertes Ticket, eine abgezeichnete Prüfung, ein Export aus einem System.

Eine typische Nachweisanforderung sieht so aus:

• die letzten vier Berechtigungsprüfungen, mit Datum und der Person, die sie durchgeführt hat
• drei Eintritte und drei Austritte, mit den Tickets, die zeigen, wann Zugriffe erteilt und wieder entzogen wurden
• den Risikobehandlungsplan, mit dem Stand der einzelnen Maßnahmen
• die Lieferantenprüfungen der beiden neuesten Dienstleister
• die Schulungsnachweise aller Personen, die in den letzten sechs Monaten angefangen haben
• das Protokoll der letzten Managementbewertung

Niemand prüft alles. Auditoren ziehen Stichproben, also eine kleine Auswahl, die für den Rest steht. Drei Austritte von dreißig sagen genug. Sind alle drei sauber, geht es weiter. Ist einer es nicht, kommen fünf weitere dazu.

Was eine Feststellung ist

Eine Feststellung ist der schriftlich festgehaltene Unterschied zwischen dem, was passieren sollte, und dem, was passiert ist. Es gibt drei Stufen, und der Abstand zwischen ihnen ist größer, als die meisten erwarten.

Beobachtung, auch Verbesserungspotenzial genannt. Nichts ist kaputt, aber etwas könnte besser oder klarer sein. Beispiel: Ihre Richtlinie sieht quartalsweise Berechtigungsprüfungen vor, tatsächlich machen Sie sie monatlich, das Dokument ist also veraltet. Verletzt wurde keine Regel. Nur beschreibt das Papier die Wirklichkeit nicht.

Geringfügige Nichtkonformität. Eine Nichtkonformität ist eine Anforderung, die nicht erfüllt wurde. Geringfügig heißt: ein einzelner Ausrutscher in etwas, das sonst funktioniert. Beispiel: Ihre Regel verlangt, dass der Zugriff bei einem Austritt innerhalb von zwei Arbeitstagen entzogen wird, und bei einem von acht Austritten hat es elf Tage gedauert.

Schwerwiegende Nichtkonformität. Die Anforderung fehlt ganz, oder sie scheitert durchgängig statt einmalig. Beispiel: Es gab noch nie eine Berechtigungsprüfung, oder es existiert überhaupt kein Risikobehandlungsplan. Im Zertifizierungsaudit hält eine schwerwiegende Nichtkonformität das Zertifikat auf, bis sie behoben und geprüft ist.

Ihr internes Audit kann dieselben drei Bezeichnungen verwenden. Das lohnt sich, weil Ihr Team die Sprache kennt, bevor der Zertifizierungsauditor sie benutzt.

Was Sie mit einer Feststellung machen

Zwei verschiedene Dinge, und sie zu verwechseln ist der häufigste Fehler, den wir sehen.

Eine Korrektur behebt den Einzelfall. Das Konto schließen, das offen geblieben ist.

Eine Korrekturmaßnahme behebt den Grund dafür, und genau das verlangt die Norm. Dazu suchen Sie die Ursache: nicht den Fehler selbst, sondern das, was ihn möglich gemacht hat. Im Austrittsbeispiel wurde das Konto zu spät geschlossen, weil das Offboarding erst startet, wenn die Personalabteilung am Gehaltslauf-Tag eine E-Mail schickt. Die Korrektur ist das Schließen des Kontos. Die Korrekturmaßnahme ist, das Offboarding am Tag der Kündigung aus dem Personalsystem heraus anzustoßen, damit der nächste Austritt ohne Nachfragen in zwei Tagen erledigt ist.

Unser Artikel zu Nichtkonformität und Korrekturmaßnahmen zeigt Schritt für Schritt, wie Sie die Ursache ermitteln und die Behebung dokumentieren.

Warum Feststellungen gute Nachrichten sind

Feststellungen aus Ihrem eigenen internen Audit haben keine Auswirkung auf Ihr Zertifikat. Es wird nichts an irgendwen gemeldet. Sie bekommen eine Liste mit Dingen, die Sie beheben müssen, und die Zeit, es zu tun.

Das ist der ganze Tausch. Dieselbe Lücke, im Zertifizierungsaudit gefunden, wird zu einer Nichtkonformität in den Unterlagen, zu einem Maßnahmenplan mit einer Frist, die jemand anders setzt, und bei einer schwerwiegenden Nichtkonformität zu einer Wartezeit, bis der Auditor Ihre Behebung geprüft hat. Intern gefunden ist sie schlicht eine Aufgabe mit verantwortlicher Person und Termin.

Es gibt einen zweiten Nutzen, der viele überrascht. Ein Bericht voller Feststellungen ist nichts Peinliches, sondern der Beleg dafür, dass Ihr System arbeitet: Sie haben hingeschaut, Sie haben etwas gefunden, Sie haben es behoben, und Sie können alle drei Schritte zeigen. Ein leerer Bericht bewirkt das Gegenteil. Erfahrene Zertifizierungsauditoren werten null Feststellungen als Hinweis darauf, dass das Audit oberflächlich war oder die prüfende Person nicht unabhängig genug, um etwas aufzuschreiben.

Deshalb lohnt es sich, das Audit von jemandem durchführen zu lassen, der tatsächlich etwas findet. Ein Auditor von außerhalb Ihres Unternehmens zieht Stichproben wie eine Zertifizierungsstelle, schreibt auf, was er sieht, ohne an den Montagmorgen zu denken, und zeigt Ihnen Ihr Zertifizierungsaudit im Voraus, solange noch Zeit zum Handeln bleibt. Ein internes Audit müssen Sie ohnehin durchführen. Die einzige Frage ist, ob es Ihnen etwas sagt, das Sie nicht schon wussten.

Wo Sie anfangen

1. Schreiben Sie ein einseitiges Auditprogramm: was wann von wem auditiert wird. Über den Zyklus, meist ein Jahr, muss das ganze ISMS abgedeckt sein, aber nicht alles auf einmal. Zugriffe und Lieferanten im Frühjahr, Vorfälle und Backups im Herbst funktioniert gut.
2. Wählen Sie eine prüfende Person, die das Geprüfte nicht selbst aufgebaut hat. Gibt es die in Ihrem Unternehmen nicht, holen Sie einen Auditor von außen dazu.
3. Legen Sie Auditkriterien und Umfang fest, bevor Sie anfangen. Kriterien heißt: wogegen Sie prüfen, also die Norm, Ihre eigenen Richtlinien, Ihre Zusagen an Kunden. Umfang heißt: welche Teile des Unternehmens dieses Audit abdeckt.
4. Verlangen Sie Nachweise statt Erklärungen, ziehen Sie Stichproben und halten Sie fest, was Sie gesehen haben, auch das, was in Ordnung war.
5. Berichten Sie die Ergebnisse an die Geschäftsführung, machen Sie aus den Feststellungen Korrekturmaßnahmen mit verantwortlichen Personen und Terminen, und bewahren Sie die Aufzeichnungen auf. Der Zertifizierungsauditor fragt nach allen dreien.

Wie geht es weiter?

Jedes interne Audit endet mit einer Liste von Feststellungen, also ist der nächste Schritt, richtig damit umzugehen. Nichtkonformität und Korrekturmaßnahmen erklärt den Unterschied zwischen dem Beheben des Einzelfalls und dem Beheben der Ursache. Und weil die Ergebnisse an die Unternehmensleitung gehen müssen, zeigt was die Norm von der Geschäftsführung verlangt, was dort damit zu geschehen hat.