Berücksichtigen der ISO/IEC 27001-Anforderungen in den Auditfragen

ISO/IEC 27001 legt eine Reihe von Anforderungen fest, die Organisationen erfüllen müssen, um ihre Informationssicherheit zu gewährleisten. Auf den ersten Blick leicht der falsche Eindruck entstehen: Die Anzahl von 10 Clauses und 93 Controls können zu der Annahme verleiten, als seien sie auch leicht zu erfüllen. Durch die Zerlegung der ISO/IEC 27001 in ihre Teilanforderungen konnte der CycleSEC-Geschäftsführer Sebastian Klipper zusammen mit dem Sprachwissenschaftler Steffen Hessler über 800 Teilanforderungen identifizieren, die mit passenden Auditfragen abzuprüfen sind.

Beim Formulieren von Auditfragen sollten Sie sich auf diese Anforderungen konzentrieren. Beispielsweise:

• „Welche Maßnahmen werden ergriffen, um identifizierte Risiken zu behandeln?“
• „Gibt es eine dokumentierte Information Security Policy, die von der obersten Leitung genehmigt wurde und wie wird sie regelmäßig überprüft und aktualisiert?“
• „Wie stellt das Unternehmen sicher, dass alle Mitarbeitenden bezüglich der Informationssicherheitsrichtlinien geschult sind und diese verstehen?“

Anwendung der SMART-Kriterien

Um effektive Fragen zu formulieren, sollten Sie die SMART-Kriterien anwenden (Akronym für Specific, Measurable, Achievable, Reasonable, Time-bound): spezifisch, messbar, erreichbar, relevant und zeitgebunden. Dies gewährleistet, dass Ihre Fragen klar und fokussiert sind und dass die Antworten quantifizierbare Daten liefern, die zur Verbesserung der Informationssicherheit verwendet werden können.

Verwenden Sie offene Auditfragen

Offene Fragen fördern detailliertere Antworten und Diskussionen, die oft mehr Einsichten liefern als einfache Ja- oder Nein-Antworten. Beispielsweise:

• „Können Sie beschreiben, wie das Zugrittskontrollverfahren in Ihrem Bereich funktioniert?“
• „Welche Herausforderungen sehen Sie bei der Umsetzung der Backup-Policy für ihr Projekt im täglichen Betrieb?“
• „Wie wurde die Information Security Policy innerhalb der Organisation kommuniziert? Gibt es dafür Nachweise?“
• „Wie werden Information-Assets identifiziert und klassifiziert?“
• „Welche Kontrollen sind vorhanden, um unbefugtes Betreten von Räumlichkeiten durch Besuchende sicherzustellen?“

Evidenz-basierte Auditfragen

„Confidentiality or non-disclosure agreements reflecting the organization’s needs for the protection of information should be identified, documented, regularly reviewed and signed by personnel and other relevant interested parties.“

ISO/IEC 27001 Control A.6.6 – Confidentiality or non-disclosure agreements

Das Formulieren effektiver Fragen für ein Audit ist eine Kunst, die Übung und ein tiefes Verständnis der ISO/IEC 27001-Standards erfordert. Für das Control A.6.6 „Confidentiality or non-disclosure agreements“ haben wir im Folgenden einen vollständigen Fragenkatolog erstellt, der einerseits auf offene Fragen stellt und auch Beispiele liefert, welche Nachweise (Evidenzen) dazu geeignet sind, die Wirksamkeit des Controls zu belegen.

Dazu müssen alle nötigen Teilanforderungen ausreichend berücksichtigt werden. Im Falle von Control A.6.6 sind dies:

Für Control A.6.6 können so die folgenden spezifische Auditfragen mit Beispielen für mögliche Nachweise (Evidenzen) formuliert werden:

Durch die Beantwortung dieser Fragen und Vorlage der entsprechenden Nachweise kann in einem Audit ein klares Bild davon entstehen, wie gut eine Organisation die Anforderungen von Control A.6.6 erfüllt und wo möglicherweise Verbesserungsbedarf besteht.