Wer das lesen sollte: wer den ISO 27001 Projektplan verantwortet und „internes Audit“ und „Managementbewertung“ irgendwo am Ende als zwei Eintagesaufgaben stehen hat.
Es sind keine zwei Aufgaben am Ende. Es sind zwei Systeme, die gelaufen sein müssen, und sie sind der häufigste Grund, weshalb ein Stufe-2-Audit verrutscht. Beide sind günstig, wenn man sie richtig macht, und teuer, wenn man sie spät macht.
Abschnitt 9.2 verlangt ein Programm, kein Audit
Der Wortlaut, den alle im Kopf haben, lautet, die Organisation müsse in geplanten Abständen interne Audits durchführen. Der Wortlaut, der Projekte auflaufen lässt, steht daneben.
Abschnitt 9.2 verlangt fünf Dinge, und vier davon sind nicht das Audit selbst:
- Ein Auditprogramm. Ein dauerhaftes Dokument mit Häufigkeit, Methoden, Verantwortlichkeiten, Planungsanforderungen und Berichterstattung. Auditoren fragen zuerst danach. Drei fertige Auditberichte ohne Programm dahinter sind eine Abweichung, und zwar eine der am häufigsten erhobenen.
- Definierte Kriterien und ein Anwendungsbereich je Audit. Was geprüft wird, wogegen, über welche Systeme, Standorte und Zeiträume.
- Kompetenz und Objektivität der Auditoren. Kenntnis der Norm, des Auditierens und der betroffenen Technik. Und die Regel, die den größten Schaden anrichtet: Auditoren dürfen nicht ihre eigene Arbeit auditieren.
- Berichterstattung an die zuständige Leitung. Ergebnisse müssen die Personen erreichen, die handeln können, und sie fließen direkt in die Managementbewertung.
- Aufbewahrte dokumentierte Information. Programm, Pläne, Arbeitspapiere, Berichte, Korrekturmaßnahmen.
Beachten Sie, was nicht verlangt wird. Es besteht keine Pflicht, das gesamte Managementsystem alle zwölf Monate zu auditieren. Ein rollierendes Programm, das über den Zyklus alles abdeckt und auf risikoreichere Bereiche gewichtet ist, ist konform und meist nützlicher. Nicht akzeptabel ist ein Programm, das Teile des ISMS über den ganzen Zertifizierungszyklus ohne dokumentierte Begründung unauditiert lässt.
Die Unabhängigkeitsregel ist der eigentliche Kostenblock
„Auditoren dürfen nicht ihre eigene Arbeit auditieren“ ist eine Zeile in der Norm und ein strukturelles Problem in einem Unternehmen mit vierzig Beschäftigten.
Die Person, die das Managementsystem gebaut hat, versteht es am besten. Genau deshalb darf sie es nicht auditieren. In einem Unternehmen ohne Sicherheitsteam ist das üblicherweise die einzige Person, die es kompetent auditieren könnte, womit drei Möglichkeiten bleiben:
- Eine zweite Person ausbilden. Auf Dauer am günstigsten, in der Einrichtung am langsamsten, und es funktioniert nur, wenn diese Person genug Abstand zum ISMS hat, um glaubwürdig zu sein.
- Eine andere Funktion oder Konzerngesellschaft einbinden. Funktioniert gut, wenn eine Qualitätsfunktion bereits interne Audits für eine andere Norm durchführt.
- Es einkaufen. Ein extern erbrachtes internes Audit für einen mittelständischen Anwendungsbereich kostet 4.000 bis 12.000 € pro Jahr. Beachten Sie das „pro Jahr“. Das sind laufende Kosten über die Laufzeit des Zertifikats und einer der Posten, die in den meisten Budgets fehlen, wie in Was ISO 27001 einen Mittelständler wirklich kostet dargestellt.
Welchen Weg Sie auch wählen, dokumentieren Sie, warum der Auditor unabhängig ist. „Diese Person hat diesen Teil nicht gebaut“, vor dem Audit aufgeschrieben, wiegt mehr als eine Erklärung, die man dem Zertifizierungsauditor hinterher liefert.
Abschnitt 9.3 hat eine feste Tagesordnung, und sie ist kein Statusbericht
Die Managementbewertung ist der Punkt, an dem Projekte am meisten Zeit für den geringsten Grund verlieren, denn die Anforderung ist ungewöhnlich präzise und leicht zu erfüllen, wenn man sie vorher liest.
Abschnitt 9.3.2 zählt auf, was die Bewertung berücksichtigen muss. Behandeln Sie das als verpflichtende Tagesordnung:
- Den Status von Maßnahmen aus vorherigen Managementbewertungen.
- Änderungen externer und interner Themen, die für das Managementsystem relevant sind.
- Änderungen der Erfordernisse und Erwartungen interessierter Parteien.
- Rückmeldungen zur Informationssicherheitsleistung: Trends bei Abweichungen und Korrekturmaßnahmen, Ergebnisse von Überwachung und Messung, Auditergebnisse, Erfüllung der Informationssicherheitsziele.
- Rückmeldungen interessierter Parteien.
- Ergebnisse der Risikobeurteilung und Status des Risikobehandlungsplans.
- Möglichkeiten zur fortlaufenden Verbesserung.
Abschnitt 9.3.3 legt das Ergebnis fest: Entscheidungen zu Verbesserungsmöglichkeiten und zu notwendigen Änderungen des Managementsystems, mit aufbewahrter dokumentierter Information als Nachweis.
Zwei Folgen, die man einplanen sollte.
Punkt 1 macht die erste Bewertung strukturell anders als alle folgenden. Es gibt keine früheren Maßnahmen zu prüfen. Jede spätere Bewertung wird auch daran gemessen, ob die Entscheidungen der vorherigen bis zum Abschluss verfolgt wurden. Eine Reihe von Bewertungen, die jeweils neue Maßnahmen aufwerfen und alte nie schließen, ergibt ein sichtbares Muster, und Auditoren suchen danach.
Punkt 4 setzt voraus, dass Sie etwas gemessen haben. Rückmeldungen zur Leistung und zur Zielerfüllung setzen voraus, dass Ziele existieren und Messgrößen tragen. Wenn die Ziele nach Abschnitt 6.2 als Absichten statt als bezifferte Größen formuliert wurden, wird das in dieser Sitzung sichtbar.
Die Norm sagt „geplante Abstände“ und nennt keine Häufigkeit. Jährlich ist üblich und das Minimum, das die meisten Auditoren akzeptieren. Vierteljährlich ist besser in einem Unternehmen mit veränderlicher Landschaft, und es zeigt dem ersten Zertifizierungsaudit ein Muster statt eines Einzelereignisses.
Was Auditoren tatsächlich feststellen
Die Feststellungen zu diesen beiden Abschnitten sind konstant genug, um sie der Reihe nach aufzulisten.
Zu 9.2:
- Durchgeführte Audits, aber kein Dokument eines Auditprogramms.
- Unvollständige Abdeckung der Maßnahmen über den Zyklus, ohne risikobasierte Begründung für das Ausgelassene.
- Unabhängigkeit des Auditors nicht dokumentiert.
- Korrekturmaßnahmen ohne Ursachenanalyse erfasst oder ohne Wirksamkeitsprüfung geschlossen.
- Auditergebnisse nie förmlich an die Leitung berichtet, wodurch die Verbindung zu 9.3 fehlt.
- Audits so kurz vor dem Zertifizierungstermin, dass Feststellungen nicht mehr rechtzeitig behoben werden können.
Zu 9.3:
- Protokolle, die nicht alle sieben verpflichtenden Eingaben abdecken. Das ist die häufigste Feststellung und vollständig vermeidbar, indem man die obige Liste als Tagesordnungsvorlage nutzt.
- Teilnahme durch Vertretungen statt durch die oberste Leitung. Die Norm meint die Personen mit Weisungsbefugnis über Ressourcen.
- Keine dokumentierten Entscheidungen. Ein Diskussionsprotokoll ist kein Entscheidungsprotokoll.
- Frühere Maßnahmen nicht bis zum Abschluss verfolgt.
- Nicht vorbereitete Eingaben, sodass die Sitzung Eindrücke bespricht statt der Auditergebnisse und Risikodaten, die sie betrachten soll.
Reihenfolge: der Fehler, der ein Quartal kostet
Die letzte Feststellung der 9.2-Liste ist die teure. Interne Audits vierzehn Tage vor Stufe 2 lassen keine Zeit, das Gefundene zu beheben, und nichts zu finden ist schlimmer, denn ein sauberes internes Audit unmittelbar vor der Zertifizierung sagt einem Auditor, dass das interne Audit nicht gesucht hat.
Eine funktionierende Abfolge für eine Erstzertifizierung:
| Wann | Was |
|---|---|
| Monat 1 | Auditprogramm schreiben. Die Bewertungen des Jahres terminieren |
| Ab Monat 2 | Erste Managementbewertung, auch mit dünner Datenlage. Sie startet die Maßnahmenspur |
| 3 bis 4 Monate vor Stufe 2 | Erstes internes Audit, voller Anwendungsbereich, mit erwarteten Feststellungen |
| Die folgenden 6 Wochen | Korrekturmaßnahmen, mit Ursachenanalyse und Wirksamkeitsprüfung |
| 6 bis 8 Wochen vor Stufe 2 | Managementbewertung über diese Auditergebnisse |
| Stufe 2 | Der Auditor sieht erhobene Feststellungen, geschlossene Maßnahmen, geprüfte Wirksamkeit |
Die letzte Zeile ist der eigentliche Zweck. Ein Managementsystem, das seine eigenen Probleme gefunden und behoben hat, ist genau das, wonach Stufe 2 sucht. Abweichungen, die Ihr eigenes internes Audit erhoben und ordentlich geschlossen hat, sind im Audit ein Vorteil, keine Belastung. Teams verstecken sie, und dieser Reflex ist verkehrt herum.
Der Zeitplan muss außerdem in die Nachweisdauer passen, die andere nicht komprimierbare Randbedingung. Beide sind in Wie lange ISO 27001 wirklich dauert dargestellt.
Wer das in einem Unternehmen ohne Sicherheitsfunktion übernimmt
Praktisch müssen drei Rollen existieren, und nur eine lässt sich sauber vergeben.
Die ISMS-Verantwortung bereitet die Eingaben vor und steuert die Korrekturmaßnahmen. Diese Rolle muss intern bleiben. Die oberste Leitung nimmt an der Bewertung teil und trifft Entscheidungen mit Ressourcenwirkung. Das lässt sich nicht delegieren, und ein Auditor prüft, wer im Raum war. Der interne Auditor muss unabhängig von der geprüften Arbeit sein, und das ist die Rolle, die regelmäßig eingekauft wird.
Wo ein Unternehmen niemanden für die erste Rolle hat, ist das üblicherweise der Auslöser für eine benannte Sicherheitsleitung auf Teilzeitbasis statt einer Einstellung, denn die Arbeit umfasst einige Tage im Monat, sobald das System läuft, und keine Vollzeitstelle. Die größere Fassung dieser Entscheidung steht in ISO 27001 für ein Unternehmen ohne Sicherheitsteam.
Die technische Realität: was ein dokumentenbasiertes internes Audit übersieht
Hier die ehrliche Grenze von Abschnitt 9.2, so wie ihn die meisten Mittelständler anwenden.
Ein internes Audit prüft Konformität: existiert eine Maßnahme, ist sie dokumentiert, gibt es einen Nachweis. Es prüft nicht, ob die Maßnahme wirkt. Ein Auditor kann bestätigen, dass A.8.8 durch eine Schwachstellenvorgehensweise abgedeckt ist, dass monatlich Scans laufen und ein Bericht entsteht. Jede dieser Aussagen kann zutreffen, während kritische Feststellungen monatelang unbehoben liegen, denn die Maßnahme verlangte einen Prozess und bekam einen.
Dasselbe gilt quer durch die operativen Maßnahmen. Protokollierung existiert, und niemand fragt sie ab. Sicherungen laufen, und niemand hat je zurückgespielt. Zugriffsüberprüfungen sind unterschrieben, und der Austretende hat noch ein gültiges Token. All das besteht ein internes Audit gegen die Dokumentation, und es sind zugleich, in dieser Reihenfolge, drei der häufigsten Wege, auf denen ein Unternehmen dieser Größe kompromittiert wird. Die Gruppierung in Die Maßnahmen aus Anhang A, gruppiert für die tatsächliche Arbeit trennt die Maßnahmen, die Arbeit aufzeichnen, von denen, die Ingenieursarbeit sind, und im zweiten Block sitzt diese Lücke.
Die Abhilfe ist nicht mehr Auditieren. Es ist, das Auditprogramm so zu schreiben, dass die operativen Maßnahmen getestet statt begutachtet werden: eine Sicherung zurückspielen und die Zeit stoppen, einen Austretenden auswählen und nach aktiven Zugängen suchen, eine Feststellung des Scanners bis zu ihrem Abschluss verfolgen. Damit wird aus dem internen Audit statt einer Papierübung das, was Probleme findet, bevor ein Angreifer oder ein Auditor sie findet, und genau dafür war Abschnitt 9.2 gedacht.
