ISO 27001-Audit vorbereiten: Mit Auditindex statt Blackout

Ich habe einmal einen Menschen im Zertifizierungsaudit erlebt, der so nervös war, dass sein Gehirn nach der ersten Frage praktisch den Dienst einstellte. Klassischer Fall von Prüfungsangst.

Eigentlich war vieles vorhanden. Richtlinien, Verfahren, Protokolle, Tickets, Auswertungen – der ganze Laden. Nur leider nicht mehr in seinem Kopf.

Der Auditor fragte nach einem Nachweis. Der Mann öffnete hektisch den Fileserver, klickte durch drei Ordner, schloss aus Versehen das falsche Fenster und murmelte: „Das haben wir. Ganz sicher. Einen kleinen Moment.“ Dann öffnete er Teams. Danach Outlook. Danach wieder den Fileserver. Nach zehn Minuten wirkte ein durchaus vorhandenes ISMS wie eine umfangreiche Sammlung verschollener Kulturgüter Mitteleuropas.

Das ist der Moment, in dem manche Unternehmen sich fragen: Darf man ein ISO 27001-Audit eigentlich gezielt vorbereiten – oder ist das schon Schummeln?

Die kurze Antwort

Natürlich dürfen und sollten Sie ein ISO 27001-Audit vorbereiten.

Sie dürfen Personen darauf vorbereiten, welche Themen sie erklären können. Sie dürfen Dokumente und Nachweise auffindbar machen. Sie dürfen typische Auditpfade durchspielen und einen Index bauen, der zu jeder Anforderung zeigt:

• Wer kann etwas dazu erklären?
• Welche Vorgaben gelten?
• Welche Nachweise zeigen, dass danach gearbeitet wurde?
• Wo findet man das alles?

Was Sie nicht dürfen: eine Wirklichkeit für den Audittag erfinden, die es im Unternehmen sonst nicht gibt. Nachweise nachträglich basteln, Menschen falsche Antworten eintrichtern oder ein ISMS als Theaterstück aufführen, das nach Abreise des Auditors wieder abgebaut wird.

Gute Auditvorbereitung macht die Wirklichkeit sichtbar. Schlechte Auditvorbereitung ersetzt sie durch Kulissen.

Vorbereitung ist keine Mogelei

Ein Zertifizierungsaudit ist keine spontane Hausdurchsuchung. Termin, Dauer, Scope und wesentliche Themen werden vorab geplant. Auch der grundsätzliche Ablauf von Stage 1 und Stage 2 ist kein Geheimnis. Wer den ganzen Zertifizierungszyklus einordnen möchte, findet ihn in unserem Überblick zum Ablauf einer ISO 27001-Zertifizierung.

Niemand bekommt Zusatzpunkte dafür, Unterlagen möglichst schnell zu finden. Ein Auditor will beurteilen, ob Ihr Managementsystem konform und wirksam ist. Er will nicht messen, wie lange Ihr ISB unter Stress braucht, um sich an den Namen eines SharePoint-Ordners zu erinnern.

Vorbereitung ist deshalb sinnvoll, wenn sie Reibungsverluste beseitigt:

• Die richtigen Ansprechpartner sind verfügbar.
• Die Beteiligten kennen ihre Themen und Rollen.
• Freigegebene Vorgaben lassen sich schnell öffnen.
• Nachweise aus der tatsächlichen Arbeit sind auffindbar.
• Der Weg von einer Anforderung zur praktischen Umsetzung ist nachvollziehbar.

Genau das hilft übrigens auch außerhalb des Audits. Wenn nur eine einzelne Person weiß, dass der letzte Restore-Test in einem Teams-Chat namens „Diverses Zeug alt 2“ dokumentiert wurde, haben Sie kein Auditproblem. Sie haben ein Organisationsproblem, das sich im Audit lediglich freundlich vorstellt.

Der Auditindex: Ihre Landkarte durch das ISMS

Das praktischste Werkzeug zur Auditvorbereitung ist ein Auditindex. Der Name klingt größer, als das Ding sein muss. Eine Tabelle reicht völlig.

Der Auditindex verbindet Anforderungen oder Themen mit den Menschen, Vorgaben und Nachweisen, die dazu gehören. Er ist kein zusätzlicher Managementprozess und keine neue Parallelwelt. Er ist ein Wegweiser durch das, was ohnehin existiert.

Eine sinnvolle Grundstruktur sieht so aus:

• Anforderung oder Thema: Was könnte geprüft werden?
• Ansprechpartner: Wer kann erklären, wie das Unternehmen damit umgeht?
• Vorgaben: Welche Richtlinie, welcher Prozess oder welche Arbeitsanweisung beschreibt das Vorgehen?
• Nachweise: Woran erkennt man, dass tatsächlich so gearbeitet wurde?
• Ablage: Wo sind Vorgaben und Nachweise zu finden?

Optional können Sie noch vermerken, ob ein Thema für Stage 1, Stage 2 oder ein Überwachungsaudit besonders relevant ist und wann Sie den Eintrag zuletzt geprüft haben. Mehr braucht es zunächst nicht. Der Auditindex soll Orientierung schaffen und nicht selbst zum nächsten Dokumentationsmonster mutieren.

Konkrete Beispiele für einen Auditindex

Überprüfung von Personen und Onboarding

A.6.1 der ISO 27001 behandelt die angemessene Überprüfung von Personen vor beziehungsweise bei der Beschäftigung. Ein praktischer Auditpfad geht aber häufig weiter und betrachtet das gesamte Onboarding.

Im Index könnten stehen:

• Ansprechpartner: HR-Leitung, IT-Administration und gegebenenfalls die einstellende Führungskraft;
• Vorgaben: Recruiting- oder Überprüfungsverfahren, Onboarding-Prozess, Berechtigungsrichtlinie und Richtlinie für Mitarbeiter;
• Nachweise: eine Auswahl abgeschlossener Onboarding-Checklisten, Tickets zur Einrichtung von Konten und Berechtigungen, Verpflichtungen, Schulungs- oder Sensibilisierungsnachweise;
• Ablage: direkte Links auf freigegebene Vorgaben und geeignete Beispieldatensätze.

Backups und Wiederherstellung

Bei A.8.13 reicht es nicht, feierlich zu verkünden: „Wir haben Backups.“ Interessant ist, wie die Datensicherung geregelt wurde und ob sie tatsächlich funktioniert.

Der Index verweist beispielsweise auf:

• den zuständigen Administrator und die IT-Leitung;
• die Richtlinie für Administratoren, das Datensicherungskonzept oder eine Backup-Arbeitsanweisung;
• Backup-Logs, Monitoring-Meldungen und die Bearbeitung fehlgeschlagener Sicherungen;
• Protokolle oder Tickets zu Wiederherstellungstests;
• eine Übersicht darüber, welche Systeme und Daten gesichert werden.

Der schönste tägliche Backup-Log nützt wenig, wenn noch nie geprüft wurde, ob man aus dem entstandenen Datenhaufen auch wieder etwas Brauchbares herstellen kann.

Nicht nur nach Normnummern sortieren

Ein Auditindex darf sich an den Abschnitten der ISO 27001 und den Maßnahmen aus Anhang A orientieren. Er sollte aber nicht ausschließlich daraus bestehen.

Auditoren fragen nämlich selten den ganzen Tag: „Zeigen Sie mir jetzt bitte A.8.13.“ Häufig starten sie bei einem Prozess, einer Person oder einem konkreten Fall:

• „Wie stellen Sie sicher, dass Sie Kundendaten nach einem Ausfall wiederherstellen können?“
• „Wie lief das Onboarding dieses Mitarbeiters ab?“
• „Was geschieht, wenn ein wichtiger Dienstleister ausfällt?“
• „Wie wurde dieses Risiko behandelt?“

Von dort folgt der Auditor einem Auditpfad. Aus dem Onboarding werden schnell HR-Regeln, Rollen, Schulungen, Berechtigungsvergabe, Geräteausgabe und Verpflichtungen. Aus einem Backup werden Assetverzeichnis, Schutzbedarf, Verantwortlichkeit, Logging, Behandlung von Fehlern und Wiederherstellung.

Deshalb ist es klug, im Index neben Normstellen auch betriebliche Themen und Prozesse aufzunehmen. Ein Eintrag darf auf mehrere Anforderungen verweisen; eine Anforderung darf in mehreren betrieblichen Themen auftauchen.

Der Index ist kein Drehbuch für Musterantworten

Manche Auditvorbereitung entgleist in Richtung Theaterprobe. Dann erhalten Mitarbeiter fertige Sätze, die sie bei bestimmten Fragen aufsagen sollen.

Das klingt ungefähr so:

„Wenn der Auditor nach Vorfällen fragt, sagen Sie: Informationssicherheitsvorfälle werden unverzüglich dem Informationssicherheitsbeauftragten gemeldet.“

Der Satz mag korrekt sein. Wenn der Mitarbeiter aber weder weiß, was im Unternehmen als Vorfall gilt, noch wie er den ISB erreicht, ist er nur Geräusch.

Bereiten Sie Menschen deshalb nicht auf Wortlaut vor, sondern auf Orientierung:

• Welche Regeln sind für ihre Arbeit relevant?
• Wo können sie diese Regeln nachsehen?
• Welche Beispiele aus ihrer tatsächlichen Arbeit können sie zeigen?
• Wen fragen sie, wenn sie unsicher sind?

„Das weiß ich nicht auswendig, aber ich kann Ihnen zeigen, wo es geregelt ist“ ist im Audit eine vollkommen brauchbare Antwort. Sie ist erheblich besser als ein selbstbewusst vorgetragener Fantasiesatz.

Wo Vorbereitung endet und Schummeln beginnt

Die Grenze ist eigentlich einfach: Vorbereitung organisiert vorhandene Wirklichkeit. Schummeln erfindet eine neue.

Unproblematisch ist es, wenn Sie:

• Dokumente und Nachweise vorher zusammensuchen;
• Links überprüfen und Berechtigungen zum Öffnen testen;
• Verantwortliche über ihre mögliche Teilnahme informieren;
• den Auditplan gemeinsam durchgehen;
• in einer Generalprobe typische Fragen stellen;
• offene Punkte erkennen und vor dem Audit ordnungsgemäß erledigen.

Problematisch wird es, wenn Sie:

• Nachweise nachträglich erfinden oder rückdatieren;
• einzelne saubere Musterfälle eigens für den Auditor konstruieren;
• Mitarbeitern Antworten vorgeben, die nicht ihrer tatsächlichen Arbeit entsprechen;
• fehlerhafte oder unvollständige Stichproben verstecken;
• für den Audittag Kontrollen einschalten, die danach sofort wieder verschwinden;
• den Berater jede Antwort geben lassen, weil das Unternehmen sein eigenes System nicht erklären kann.

Ein Internes Audit ist übrigens eine ausgezeichnete Generalprobe – sofern es kompetent und ehrlich durchgeführt wird. Es soll gerade die Stellen finden, an denen Vorgabe, Praxis und Nachweis noch nicht zusammenpassen. Wie man den gesamten Weg bis zum Zertifikat sinnvoll strukturiert, zeigt unser Artikel 7 Schritte zum ISO 27001-Zertifikat.

So bauen Sie den Auditindex praktisch auf

1. Beginnen Sie mit Scope und Auditplan. Welche Organisationseinheiten, Prozesse, Standorte und Themen werden voraussichtlich betrachtet?
2. Ergänzen Sie die Anforderungen. Nehmen Sie die Abschnitte 4 bis 10, relevante Maßnahmen aus Anhang A sowie rechtliche, vertragliche und eigene Anforderungen auf.
3. Ordnen Sie Ansprechpartner zu. Nicht automatisch überall den ISB eintragen. Der Administrator erklärt Backups, HR erklärt Onboarding und die Geschäftsführung erklärt ihre Entscheidungen.
4. Verlinken Sie Vorgaben. Nutzen Sie nur freigegebene und aktuelle Fassungen. Eine vernünftige ISO 27001-Dokumentation hilft mehr als zwanzig Versionen derselben Richtlinie.
5. Verlinken Sie echte Nachweise. Wählen Sie keine Hochglanzbeispiele, sondern aussagefähige Stichproben aus dem normalen Betrieb.
6. Testen Sie die Wege. Können die vorgesehenen Personen die Links tatsächlich öffnen? Funktionieren Zugriffe auch aus dem Auditraum oder bei einem Remote-Audit?
7. Gehen Sie Auditpfade durch. Starten Sie bei einem realen Vorgang und verfolgen Sie ihn über Zuständigkeit, Vorgabe, Durchführung und Nachweis.

Und bitte: Machen Sie aus dem Index kein 700-zeiliges Kunstwerk, das ausschließlich sein Erfinder bedienen kann. Er soll einen Blackout auffangen, nicht selbst einen verursachen.

Was der Auditor von guter Vorbereitung merkt

Gute Vorbereitung wirkt nicht wie eine Show. Sie wirkt ruhig.

Die richtigen Personen beantworten die Fragen aus ihrer eigenen Arbeit. Vorgaben sind aktuell und auffindbar. Nachweise passen zu den Aussagen. Wenn etwas nicht sofort klar ist, kann das Unternehmen den Weg nachvollziehen. Es entsteht der Eindruck: Diese Organisation kennt ihr eigenes System.

Auch unsere drei goldwerten Tipps für das ISO 27001-Audit laufen im Kern darauf hinaus: Zeigen Sie Ihr eigenes ISMS, nehmen Sie es ernst und können Sie Ihre Umsetzung mit Angemessenheit und Wirksamkeit begründen.

Schlechte Vorbereitung wirkt dagegen entweder chaotisch oder unnatürlich glatt. Alle sprechen dieselben Sätze, aber niemand kann ein Beispiel zeigen. Der ISB beantwortet Fragen für HR, IT und Geschäftsführung. Dokumente erscheinen wie durch Zauberei, doch keiner weiß, wie sie im Alltag benutzt werden. Ein guter ISO 27001-Berater hilft Ihnen bei der Vorbereitung, ohne dem Unternehmen im Audit seine eigene Stimme abzunehmen.

Das fällt auf. Auditoren verbringen beruflich erstaunlich viel Zeit mit Menschen, die gerade so tun, als hätten sie gestern nicht noch verzweifelt nach dem Risikobehandlungsplan gesucht.

Interesse geweckt?

Wenn Sie Ihr Zertifizierungsaudit nicht als Gedächtnisprüfung auf gut Glück erleben möchten, unterstützen wir Sie bei der Vorbereitung. Wir prüfen typische Auditpfade, bauen mit Ihnen einen brauchbaren Auditindex und führen auf Wunsch eine Generalprobe durch.

Dabei geht es nicht darum, Ihrem Team die richtigen Sätze beizubringen. Es geht darum, dass Ihre Organisation ihr eigenes ISMS versteht, die dazugehörigen Unterlagen findet und anhand echter Beispiele zeigen kann, wie Informationssicherheit im Alltag funktioniert.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.