Ein Audit, das zeigt, ob Ihre Compliance hält
Wir prüfen Ihre Sicherheit gegen den Maßstab, den Sie wählen: eine Norm, Ihre eigenen Richtlinien oder den Fragebogen, den ein Kunde Ihnen gerade geschickt hat. Danach sagen wir Ihnen, wo es nachgibt.
Überblick
Was ein Informationssicherheits-Audit ist
Ein Audit vergleicht, was Sie zu tun angeben, mit dem, was Sie tatsächlich tun. Der Maßstab kann ISO/IEC 27001 mit dem Leitfaden ISO/IEC 27002 sein, die Datenschutz-Grundverordnung (DSGVO), PCI DSS, ein anderes Rahmenwerk, Ihre eigenen Richtlinien oder ein Sicherheitsfragebogen eines Kunden.
Wir lesen die Dokumente, sprechen mit den Verantwortlichen für die Maßnahmen und ziehen dann Stichproben aus den Nachweisen. Eine Richtlinie, nach der Zugriffe vierteljährlich überprüft werden, ist so viel wert wie das Protokoll der letzten Überprüfung.
Ein internes Audit oder Voraudit ist kein Zertifikat. ISO/IEC 27001-Zertifikate stellen akkreditierte Zertifizierungsstellen aus, PCI DSS-Konformitätsberichte, wo erforderlich, Qualified Security Assessors, und über die Einhaltung der DSGVO entscheiden letztlich die Aufsichtsbehörden. Black Fox zeigt Ihnen, wo Sie stehen, bevor diese hinsehen.
Für wen es gedacht ist
Organisationen vor einem ISO/IEC 27001-Zertifizierungs- oder Überwachungsaudit, einer PCI DSS-Prüfung oder der Lieferantenbewertung eines Kunden, und Teams, die von außen wissen wollen, ob ihre eigenen Richtlinien befolgt werden. Ebenso für Unternehmen, die das interne Audit nach ISO/IEC 27001 brauchen, aber niemanden Unabhängigen haben, der es durchführt.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Den Maßstab festlegen
Wir vereinbaren, wogegen geprüft wird: eine Norm, ein Gesetz, Ihre Richtlinien, ein Vertrag, ein Kundenfragebogen oder eine Kombination daraus.
Dokumentenprüfung
Richtlinien, Verfahren, Risikounterlagen und frühere Auditberichte, gelesen auf ihre Anforderungen und darauf, ob sie einander widersprechen.
Interviews
Gespräche mit Maßnahmenverantwortlichen, IT und Führungskräften, um zu sehen, ob der beschriebene Prozess der ist, den die Leute befolgen.
Stichproben von Nachweisen
Tickets, Logs, Berechtigungslisten, Backup-Protokolle und Konfigurationsexporte, stichprobenartig geprüft, ob Maßnahmen wirken und nicht nur existieren.
Technische Prüfungen
Wo das Audit es verlangt, gezielte Prüfungen der Konfiguration von Netzwerkgeräten, Endgeräten, Servern und Anwendungen.
Internes Audit für ISO/IEC 27001
Das von der Norm verlangte interne Audit, durchgeführt von Personen, die unabhängig von denen sind, die die Maßnahmen aufgebaut haben.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Maßstab, Geltungsbereich, Beteiligte und Prüfzeitraum und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Angebot und Auditplan
Ein Angebot mit Auditplan: was wir prüfen, mit wem wir sprechen und welche Nachweise wir anfordern.
Prüfung vor Ort und remote
Dokumentenprüfung, Interviews, Stichproben und technische Prüfungen, Feststellungen teilen wir, sobald sie belastbar sind.
Übergabe der Ergebnisse
Feststellungen nach Risiko bewertet, jeweils mit Anforderung, Nachweis und Empfehlung, gemeinsam mit Ihrem Team besprochen.
Abschluss
Wir schließen das Projekt ab, holen Ihr Feedback ein und vereinbaren auf Wunsch eine Nachprüfung der Korrekturmaßnahmen.
Was Sie erhalten
- Auditplan und Abgrenzung des Geltungsbereichs
- Managementbericht mit Risikobewertung der Feststellungen
- Technischer Bericht mit Nachweisen, wo relevant
- Feststellungen, der jeweiligen Anforderung zugeordnet
- Priorisierte Empfehlungen und Liste der Korrekturmaßnahmen
- Auf Wunsch ein Zertifikat über den Auftrag, auf unserer Website überprüfbar
Fragen
Ist das dasselbe wie ein Zertifizierungsaudit?
Nein. Zertifizierungsaudits führen akkreditierte Zertifizierungsstellen durch, PCI DSS-Konformitätsberichte erstellen Qualified Security Assessors. Unser Audit zeigt Ihnen, wie Sie abschneiden würden und was zu beheben ist. Wenn Sie anschließend die Zertifizierung angehen, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl. Unser Zertifikat über den Auftrag belegt, dass das Audit stattgefunden hat; es ist keine Compliance-Zertifizierung.
Können Sie uns gegen den Fragebogen eines Kunden prüfen?
Ja. Der Fragebogen wird zum Maßstab. Wir prüfen Ihre Antworten gegen Nachweise und sagen Ihnen, welche Sie vertreten können und welche vor dem Absenden noch Arbeit brauchen.
Geht es beim Audit nur um Dokumente?
Nein. Dokumente setzen die Erwartung, das Audit prüft, ob die Maßnahmen wirken. Wo es hilft, ergänzen wir technische Konfigurationsprüfungen oder einen Penetrationstest als eigenen Auftrag.
Können Sie unser internes ISO/IEC 27001-Audit durchführen, wenn Sie uns bei der Umsetzung begleitet haben?
Die Norm verlangt ein objektives und unparteiisches internes Audit. Haben wir Ihre Maßnahmen aufgebaut, vereinbaren wir mit Ihnen, wie das interne Audit unparteiisch bleibt; das kann bedeuten, dass wir für diesen Teil einen anderen Auditor empfehlen.
Verwandte Leistungen
- Compliance und ZertifizierungISO/IEC 27001ISO/IEC 27001 mit Black Fox Security: ISMS-Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Vorbereitung auf die Zertifizierung.
- Compliance und ZertifizierungDSGVODSGVO mit Black Fox Security: Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung, Sicherheit der Verarbeitung, Auftragsverarbeitung und Datenpannen.
- Compliance und ZertifizierungPCI DSSPCI DSS mit Black Fox Security: Abgrenzung und Segmentierung, Gap-Analyse, Unterstützung beim SAQ, Penetrations- und Segmentierungstests sowie Nachweise für Ihren Prüfer.
- Governance und RisikoRisikobewertungRisikobewertung von Infrastruktur, Netzwerk und Anwendungen durch Black Fox Security: Wahrscheinlichkeit gegen Schadensausmaß, Risikoregister und Behandlungsoptionen.
Erfahren Sie es vor dem Auditor
Sagen Sie uns, woran Sie gemessen werden und bis wann. Wir planen ein Audit, das genau das prüft.