0
0
ISO 27001 Audit
Ist dein ISMS zertifizierungsreif?

Home > Beratung > ISO 27001 Audit

ISMS Security Audit: Ist dein ISMS ISO 27001 konform?

Prüfe die Konformität deines Sicherheitsmanagements nach ISO/IEC 27001. Ein ISO/IEC 27001-Zertifikat bescheinigt einer Organisation, dass sie ein Sicherheitsniveau definiert und etabliert hat, dieses ausreichend und angemessen kontrolliert und kontinuierlich verbessert, sowie dazu in der Lage ist, mit Risiken umzugehen. Dies ist nicht nur für den eigenen Schutz der Unternehmensinformationen von hoher Wichtigkeit. Es vermittelt auch allen interessierten Kunden die oft entscheidende Vertrauenswürdigkeit.

Was ist ISO 27001?

ISO/IEC 27001 ist ein international anerkannter Standard zum Thema Informationssicherheits-Managementsysteme (ISMS). Organisationen aller Branchen können ihr ISMS – also ihre Leitlinien, Prozesse, Verfahren, Maßnahmen und Fähigkeiten im Bereich der Informationssicherheit – nach diesem Standard zertifizieren lassen.

  • Audit-Ziele

  • Schnelle und kostengünstige Messung des Konformitätsgrades

  • Identifikation von Lücken (Gaps) im ISMS mit detailliertem Bericht

  • Planungsgrundlage durch konkreten und pragmatischen Maßnahmenkatalog zum Erreichen der Zertifizierungsreife

Wozu dient ein ISMS Audit?

Ein internes Audit nach ISO 27001 unterstützt dich bei deinem Zertifizierungsvorhaben. Es klärt, inwieweit die Anforderungen des Standards erfüllt sind und ob eine Zertifizierung bereits möglich ist. Zum Schließen der Lücken geben unsere Spezialisten konkrete Handlungsempfehlungen für den direkten Weg zur erfolgreichen Zertifizierung.

Was prüft das ISMS ISO 27001 Audit?

Es prüft die internen und externen Sicherheitsvorgaben (Security Policy und Guidelines) und weitere relevante Dokumente auf

  • Existenz und Gültigkeitsbereich: Gibt es alle notwendigen Dokumente?
  • Institutionalisierungsgrad: Wie bekannt sind die Vorgaben? Werden sie eingehalten?
  • Aktualität und Vollständigkeit

Es prüft die Sicherheitsmaßnahmen auf

  • Vollständigkeit: Sind alle Maßnahmen beschrieben?
  • Sinnhaftigkeit:  Sind alle Maßnahmen im Sinne der Ziele richtig entworfen?
  • Implementierungsgrad: Sind alle Maßnahmen auch umgesetzt?

Es prüft das Management Commitment

  • Rückhalt in der Geschäftsführung und IT-Leitung
  • Definition von Verantwortung für das ISMS

Es prüft die kontinuierliche Verbesserung

  • Management Review
  • Internal Audit
  • Nachverfolgung der gefunden Lücken

Was erhältst du?

  • Transparenter Bericht mit allen Feststellungen und Schlussfolgerungen
  • Konkreter und pragmatischer Maßnahmenkatalog für die notwendigen Verbesserungen
  • Priorisierung der Maßnahmen in kurz-, mittel- und langfristige Verbesserungen
  • Präsentation der Ergebnisse bei deinem Unternehmen vor Ort
  • Optional: Coaching zur Umsetzung der notwendigen Maßnahmen

Kostenlose Erstberatung

Vereinbare mit uns einen Termin für ein ganz unverbindliches, rund 30-minütiges Beratungsgespräch unter +49 89 – 44 44 31 88 0 oder über unseren Anfrageservice:

Wunschtermin sichern

Stefan Krause

Stefan ist Trainer, Consultant und Auditor im Bereich Information Security Management beim mITSM. Er baute als Software Developer im Konzern- und KMU-Umfeld umfassende IT-Expertise auf und verschaffte sich tiefen Einblick in die Bereiche Informationssicherheit, Cybersecurity und Risikomanagement. Nun gibt er sein Wissen und seine Erfahrung in unseren Trainings weiter und nimmt Organisationen bei der ISMS-Einführung und -Optimierung an die Hand.

Wie ist die Vorgehensweise?

Das Audit und die Reifegradanalyse verlaufen in sechs aufeinanderfolgenden Phasen und beansprucht abhängig von Scope/Betrachtungsumfang 6 bis 9 Arbeitstage.

  • 1. Phase: Planung der Analyse

    Im ersten Schritt werden im Gespräch mit dir die zu auditierenden Bereiche und Prozesse festgelegt. Dies erfolgt unter Berücksichtigung des Umfangs bzw. Anwendungsbereichs (Scope) und der Ziele der Analyse. Gegenstand der Vorbesprechung ist zudem eine Abstimmung über die Kriterien. Der Umfang beschreibt Ausmaß und Grenzen der Überprüfung, wie etwa physische Standorte und Organisationseinheiten, zu überprüfenden Tätigkeiten und Prozesse im Rahmen des Managementsystems und den von der Überprüfung abgedeckten Zeitraum. Die Kriterien bilden die Referenz, gegen welche die Konformität bzw. der Reifegrad festgestellt werden soll. Im Anschluss daran wird eine Liste der für die Dokumentenprüfung erforderlichen Dokumente und Aufzeichnungen erstellt.

  • 2. Phase: Prüfung der Dokumentation

    Die zuvor festgelegten Dokumente wie zum Beispiel Leitlinien (Policy), Prozessbeschreibungen, Maßnahmenpläne oder Aufzeichnungen über Ereignisse und Störungen werden ausgiebig gesichtet und analysiert. Bereits an dieser Stelle werden durch das mITSM die späteren Interviewpartner identifiziert. Diese Leistung erfolgt „off-site“ und nimmt je nach Umfang (Scope) in der Regel einen halben bis einen Tag in Anspruch. Die Ergebnisse der Dokumentenprüfung fließen in die nächste Phase ein, da sich hieraus in der Regel Rückschlüsse über eine sinnvolle Schwerpunktsetzung bei den Vor-Ort-Aktivitäten ergeben.

  • 3. Phase: Erstellung des Analyseplans

    Nach Abschluss der Dokumentenprüfung wird ein strukturierter Plan erstellt, der alle relevanten Rahmendaten der Überprüfung zusammenfasst und eine detaillierte Liste der Kriterien und den Zeitplan für die weiteren Schritte enthält. In gemeinsamer Abstimmung mit dir werden die Interviewpartner für die Vor-Ort Aktivitäten bestimmt und der Zeitrahmen dafür festgelegt. Das Team des mITSM wird alle relevanten Arbeitsdokumente wie Checklisten und Fragelisten zusammenstellen. Die Erstellung des Plans und der Arbeitsdokumente nimmt etwa einen halben Tag in Anspruch und erfolgt „off-site“. Absprachen können telefonisch oder per E-Mail erfolgen.

  • 4. Phase: Vor-Ort-Aktivitäten

    Die Vor-Ort-Aktivitäten werden von einem erfahrenen, entsprechend ausgebildeten und zertifizierten Prüfer bzw. Lead-Auditor koordiniert und durchgeführt. Wesentliches Ziel ist das Erfassen und Verifizieren von Informationen. Hierzu werden Interviews geführt, weitere Dokumente und Aufzeichnungen gesichtet und Beobachtungen gemacht. Dies alles erfolgt stichprobenartig mit dem Ziel, ein umfassendes und der Realität entsprechendes Bild der Situation zu zeichnen. Die Vor-Ort-Aktivitäten können einen oder mehrere Tage – in Abhängigkeit vom Umfang der Überprüfung – beanspruchen.

  • 5. Phase: Auswertung der Ergebniss und Berichterstellung

    Nachdem alle ausgewählten Bestandteile des Managementsystems und die Gespräche mit den Interviewpartnern durchgeführt wurden, erfolgt die Auswertung der Ergebnisse, indem aus dem Feststellungen Schlussfolgerungen gezogen werden.

  • 6. Phase: Präsentation und Festlegung der Folgemaßnahmen (optional)

    Auf Basis des erstellten und dir übergebenen umfassenden Berichtes werden die wichtigsten Informationen für die Präsentation bei dir vor Ort zusammengefasst. Es werden der Erfüllungsgrad der überprüften Bereiche und Prozesse sowie die von mITSM vorgeschlagenen Verbesserungsmaßnahmen dargestellt und erläutert.

Das mITSM ist Partner der Allianz für Cyber-Sicherheit von BSI und BITKOM und Kooperationspartner der TÜV SÜD Management GmbH.

+49 89 - 44 44 31 88 0