Wer das lesen sollte: ein Unternehmen, das gerade nach ISO 27001 zertifiziert wurde und auf sein erstes Überwachungsaudit zugeht, oder eines, das über eine Zertifizierung entscheidet und wissen will, worauf es sich über das erste Audit hinaus einlässt.
Das meiste, was über ISO 27001 geschrieben wird, endet beim Zertifikat. Dort endet das Marketing, und dort beginnt die wiederkehrende Pflicht. Das Zertifikat läuft drei Jahre, und die Zertifizierungsstelle kommt vor Ablauf zweimal wieder.
Der Dreijahreszyklus
Die Form ergibt sich aus den Akkreditierungsregeln, denen die Stelle unterliegt, nicht aus der Stelle selbst, und ist daher weitgehend überall gleich.
- Jahr null. Stufe 1, dann Stufe 2, dann die Zertifizierungsentscheidung. Das Zertifikat trägt das Entscheidungsdatum. Was in diesen beiden Besuchen passiert, steht in Stufe 1 und Stufe 2: worum die Auditorin bittet.
- Etwa zwölf Monate später. Überwachungsaudit eins.
- Etwa vierundzwanzig Monate. Überwachungsaudit zwei.
- Vor sechsunddreißig Monaten. Rezertifizierung, die vor Ablauf des Zertifikats abgeschlossen und entschieden sein muss, nicht danach.
Das Wort „etwa“ wiegt schwer. Das erste Überwachungsaudit muss binnen zwölf Monaten nach der Zertifizierungsentscheidung stattfinden, und wenn Sie es schleifen lassen, kann die Stelle das Zertifikat aussetzen. Unternehmen, die den Jahrestag als weiches Ziel behandeln, erklären am Ende einem Kunden eine Aussetzung.
Wie lange es dauert
Deutlich kürzer als die Zertifizierung, das ist die gute Nachricht.
Für eine Organisation bis etwa fünfzig Beschäftigte dauert ein Überwachungsbesuch typischerweise einen halben bis einen Tag. Stufe 2 hätte für dasselbe Unternehmen ein bis drei Tage gedauert, die Rezertifizierung ein bis zwei. Überwachung entspricht ungefähr einem Drittel des ursprünglichen Auditaufwands, und so verhalten sich im Groben auch die Gebühren. Die Rechnung über die vollen drei Jahre steht in was ISO 27001 ein KMU wirklich kostet.
Kürzer heißt nicht leichter. Die Auditorin kommt mit einer festen Liste und weniger Zeit, sich einnehmen zu lassen.
Die fünf Punkte, die bei jedem Besuch geprüft werden
Was sonst auch immer stichprobenartig geprüft wird, diese Punkte kommen bei jedem Überwachungsaudit vor, ausnahmslos.
- Abweichungen aus dem vorherigen Audit. Geschlossen, mit Nachweis, nicht nur in einer Tabelle als geschlossen markiert. Gab es in Stufe 2 eine Nebenabweichung zu Zugangsprüfungen, will die Auditorin die Zugangsprüfungen sehen.
- Das interne Auditprogramm. Seit dem letzten Besuch muss mindestens ein internes Audit stattgefunden haben, das einen angemessenen Teil des Systems abdeckt, mit Feststellungen und Nachverfolgung.
- Die Managementbewertung. Echtes Protokoll, das die Eingaben nach Abschnitt 9.3 behandelt und Entscheidungen erzeugt. Kein Kalendereintrag.
- Aktualität der Risikobeurteilung. Wurde sie überarbeitet, seit sich die Organisation verändert hat? Neuer Standort, neue Cloud-Plattform, vierzig neue Beschäftigte, neue Produktlinie, eine Übernahme. Hat sich das Geschäft bewegt und die Risikobeurteilung nicht, ist das eine Feststellung.
- Korrekturmaßnahmen allgemein. Nachweis, dass Probleme routinemäßig erhoben, untersucht und geschlossen werden, nicht nur wenn ein Audit ansteht.
Punkt zwei und drei werden am häufigsten verfehlt, und beide lassen sich nachträglich nicht glaubwürdig herstellen. Die praktischen Einzelheiten stehen in internes Audit und Managementbewertung.
Die Anhang-A-Stichprobe rotiert, mit Absicht
Das ist der Punkt, an dem eng Vorbereitete auflaufen.
Die Zertifizierungsstelle auditiert nicht jedes Jahr alle dreiundneunzig anwendbaren Maßnahmen erneut. Sie zieht eine Stichprobe. Und die Stichprobe rotiert gerade so, dass über den Dreijahreszyklus die gesamte Erklärung zur Anwendbarkeit abgedeckt wird.
Praktische Folge: Was die Auditorin beim letzten Mal geprüft hat, ist das Unwahrscheinlichste beim nächsten Mal. Ein Unternehmen, das genau das behoben hat, was in Stufe 2 gezogen wurde, und den Rest liegen ließ, hat sich auf ein Scheitern im ersten Überwachungsaudit eingerichtet. Die Gruppierung, die vollständige Abdeckung handhabbar macht, steht in den 93 Anhang-A-Maßnahmen, gruppiert für die tatsächliche Arbeit.
Auditoren achten außerdem besonders auf Verhältnismäßigkeit, wenn Sie gewachsen sind. Maßnahmen, die bei fünfundzwanzig Beschäftigten angemessen waren, sind es bei achtzig oft nicht mehr, und Personalwachstum ist sichtbar, bevor jemand den Raum betritt.
Warum Jahr zwei häufiger scheitert als Jahr eins
Das Muster ist konstant genug, um vorhersagbar zu sein.
Zertifizierung ist ein Projekt. Sie hat eine Frist, ein Budget, eine zugewiesene Person und sichtbaren Druck. Das System entsteht, das Audit wird bestanden. Dann endet das Projekt, die zuständige Person kehrt zu ihrer eigentlichen Arbeit zurück, und das System hat keinen Eigentümer mehr.
Elf Monate später bemerkt jemand den Überwachungstermin. Das interne Audit, das im vierten Monat hätte stattfinden sollen, fand nicht statt. Die Managementbewertung war ein Viertelstundenpunkt ohne Protokoll. Die Risikobeurteilung beschreibt das Unternehmen noch vor der neuen Plattform. Drei Monate Zugangsprüfungen fehlen.
Nichts davon lässt sich überzeugend erfinden, denn alles ist datiert. Das ist dasselbe Prinzip, das Nachweise, die sich selbst zusammensetzen wertvoller macht als für den Anlass erstellte.
Es ist zugleich das Argument dafür, dass das System eine benannte Verantwortung mit tatsächlicher Zeit braucht statt einer gelegentlichen Zuständigkeit aller. Diese Frage behandelt wer verantwortet die Sicherheit, wenn niemand sie verantwortet.
Was passiert, wenn es schiefgeht
Eine Nebenabweichung ist normal. Die meisten Überwachungsaudits erzeugen ein bis zwei. Sie vereinbaren einen Korrekturmaßnahmenplan, setzen ihn um, liefern Nachweise, er schließt spätestens beim nächsten Besuch. Kein Drama.
Eine Hauptabweichung ist etwas anderes. Die Stelle setzt eine Frist zur Behebung, üblicherweise um die neunzig Tage, und kann ein Nachaudit zur Verifizierung verlangen, statt Unterlagen zu akzeptieren. Wird sie in dieser Frist nicht behoben, wird das Zertifikat ausgesetzt, und Sie dürfen es und das Zeichen währenddessen nicht verwenden. Das ist die Phase, in der ein Kunde Ihr Zertifikat verlangt und Sie erklären müssen. Anhaltende Aussetzung führt zum Entzug, was in der Praxis selten ist, weil die Aussicht darauf die Aufmerksamkeit bündelt.
Das realistische Risiko für ein KMU ist nicht der Entzug. Es ist eine Aussetzung, die zufällig in eine Ausschreibung fällt.
Was in den zwölf Monaten dazwischen zu tun ist
Vier Festlegungen, klein, wenn sie geplant statt erinnert werden.
Setzen Sie das interne Audit auf Monat vier oder fünf, nicht auf Monat elf. Halten Sie die Managementbewertung als eigene Sitzung, zweimal jährlich, mit Protokollen, die Entscheidungen festhalten. Überarbeiten Sie die Risikobeurteilung, sobald sich etwas Wesentliches ändert, und halten Sie fest, dass Sie es getan haben, auch wenn nichts zu ändern war. Lassen Sie die Routinenachweise, Zugangsprüfungen, Lieferantenkontrollen, Schulungsnachweise, laufend entstehen, statt sie vor dem Besuch einzusammeln.
Das sind ein paar Stunden pro Quartal. Es ist auch der Unterschied zwischen einem administrativen Vormittag und einer Krise.
Die technische Realität: Überwachung prüft, ob das System lief, nicht ob es wirkte
Es lohnt sich, genau zu sein, was diese Audits belegen und was nicht.
Ein Überwachungsaudit verifiziert, dass Ihr Managementsystem betrieben wurde: dass Bewertungen stattfanden, Audits liefen, Feststellungen schlossen, eine Stichprobe von Maßnahmen vorhanden ist. Es ist ein Test der Prozesskontinuität. Es ist kein Test, ob Ihre Umgebung am Tag des Besuchs verteidigungsfähig ist, und es soll auch keiner sein.
Die Auditorin zieht einmal jährlich eine Teilmenge von Maßnahmen. Ein Angreifer zieht keine Stichprobe. Der Abstand zwischen zwei Überwachungsbesuchen beträgt zwölf Monate, der Abstand zwischen dem Auftreten einer Fehlkonfiguration und ihrer Ausnutzung ist meist kürzer. Ein Unternehmen kann drei aufeinanderfolgende Überwachungsaudits bestehen und dabei einen aus dem Internet erreichbaren Dienst betreiben, der den Großteil des Zyklus ungepatcht war, weil nichts im Auditprogramm darauf ausgelegt ist, ihn zu finden.
Diese Lücke zu schließen heißt, das jährlich Gezogene laufend zu messen: Inventar aus dem, was tatsächlich läuft, Patch- und Expositionsstand sichtbar statt erklärt, Zugänge gegen Austritte und Verträge abgeglichen, Wiederherstellungen verifiziert statt geplant. Dann hört Überwachung auf, ein Ereignis zu sein, auf das man sich vorbereitet, weil die Nachweise bereits vorliegen und aktuell sind. Die ausführliche Fassung dieses Arguments steht in zertifiziert ist nicht sicher.
Wenn Sie das Intervall zwischen den Audits abgedeckt statt unterstellt haben wollen, ist dafür die CloudSoul-Plattform da, und ein unabhängiges Sicherheitsaudit sagt Ihnen, was die letzte Stichprobe übersehen hat.
