ISO 27001 interne Audits: Ablauf, Stichproben und Feststellungen
Interne Audits als nachvollziehbare Prüfung planen
Ein internes ISMS-Audit untersucht, ob festgelegte Anforderungen erfüllt und die vorgesehenen Abläufe wirksam angewendet werden. Es benötigt einen klaren Umfang, geeignete Kriterien und nachvollziehbare Nachweise. Ein informelles Gespräch ohne dokumentiertes Ergebnis ersetzt diese Prüfung nicht.
Die Auditplanung sollte die Bedeutung der Prozesse, Veränderungen und frühere Feststellungen berücksichtigen. Dabei wird festgelegt, welche Bereiche wann untersucht werden und welche Kenntnisse für die Prüfung notwendig sind.
Objektivität und passende Stichproben sicherstellen
Die prüfende Person muss den betrachteten Ablauf verstehen und ihn sachlich beurteilen können. Interessenkonflikte, insbesondere eine unkritische Bewertung der eigenen Arbeit, sollten durch eine geeignete Aufgabenverteilung vermieden werden. In kleinen Teams kann dafür Unterstützung aus einem anderen Bereich oder von außen sinnvoll sein.
Für eine Stichprobe lässt sich beispielsweise prüfen:
- Welche Vorgabe gilt für den ausgewählten Vorgang?
- Ist die erforderliche Freigabe vorhanden?
- Passt die tatsächliche Durchführung zur beschriebenen Regel?
- Wurden Abweichungen erkannt und bearbeitet?
Feststellungen mit Belegen formulieren
Beispiel: Von mehreren geprüften Berechtigungsanträgen fehlen bei zwei Anträgen die vorgesehenen Genehmigungen. Der Bericht nennt die Anforderung, die anonymisiert nachvollziehbaren Fälle und die festgestellte Abweichung. Eine pauschale Bewertung wie „Zugriffsmanagement schlecht“ wäre weder ausreichend begründet noch gut bearbeitbar.
Nach dem Audit die Wirkung überprüfen
Feststellungen werden an Verantwortliche übergeben. Diese prüfen Ursachen und legen geeignete Korrekturen oder weitergehende Maßnahmen fest. Bei der Nachverfolgung wird untersucht, ob die Bearbeitung das Problem tatsächlich löst. Eine neue Vorlage oder Schulung kann Teil der Lösung sein, ist für sich genommen aber noch kein Wirksamkeitsnachweis.
Das interne Audit unterstützt die eigene Steuerung. Es ist von einer unabhängigen externen Zertifizierung zu unterscheiden.
Auditfeststellungen liefern Eingaben für die Managementbewertung. Die Bearbeitung einer Ursache und die erneute Kontrolle gehören zur kontinuierlichen Verbesserung, damit der Auditbericht nicht ohne Folge bleibt.
Quellen und fachliche Grundlagen
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik