Maßnahme · ISO 27001 und weitere Standards
Technische Systemprüfung sicher abstimmen
Plane eine Audit- oder Sicherheitsprüfung an produktiven Systemen mit Prüfenden, zuständiger Leitung und Betrieb. Begrenze Zugänge und Eingriffe und halte den tatsächlichen Abschluss im vorhandenen Prüfauftrag fest.
Vorhandene Unterlagen nutzen
Verwende den vorhandenen Audit- oder Testauftrag. Er kann Ziel, Umfang, Entscheidung, Schutzmaßnahmen und Ergebnis gemeinsam halten. Eine zusätzliche Audit-Sicherheitsrichtlinie oder ein neues Formular ist nicht erforderlich. Gehört die technische Prüfung zu einem internen Audit, verknüpfe den vorhandenen Auditvorgang.
Was du konkret tun musst
- 1
Prüfumfang und Betriebsgrenzen vereinbaren
Halte Ziel, betroffene Systeme und Daten, erlaubte Tests und Zugriffe im vorhandenen Prüfauftrag fest. Stimme den Umfang mit Prüfenden, zuständiger Leitung, Betrieb und betroffenen Nutzenden ab. Kläre Zeitpunkt, erwartete Last, mögliche Störungen, zusätzliche Werkzeuge und die benötigten Schutzmaßnahmen. Benenne erreichbare Kontakte, Überwachung und einen eindeutigen Abbruchweg. Dokumentiere die Entscheidung vor dem Zugriff.
- 2
Begrenzte Zugänge einrichten und kontrolliert prüfen
Bevorzuge lesende Zugänge und begrenze sie auf den vereinbarten Umfang. Wo das nicht reicht, kann eine erfahrene berechtigte Administration den ausdrücklich vereinbarten Prüfschritt für die Prüfenden ausführen. Prüfe benötigte Geräte und Werkzeuge auf passende Absicherung. Nutze für weitergehende Arbeiten geeignete isolierte Kopien, soweit der Prüfzweck das erlaubt. Überwache die tatsächlichen Auswirkungen und protokolliere Prüfzugriffe in den Zielsystemen. Brich bei vereinbarten Grenzen ab und kläre Abweichungen mit dem Betrieb.
- 3
Zugänge, Kopien und Ergebnisse abschließen
Halte den tatsächlich geprüften Stand, relevante Auswirkungen und Ergebnisse im vorhandenen Auftrag fest und gib sie an die zuständige Leitung. Entziehe temporäre Zugänge, entferne nicht mehr benötigte Kopien und schütze erforderliche Aufbewahrung nach den bestehenden Informationsschutzregeln. Verbinde festgestellte Abweichungen mit zuständiger Folgearbeit und prüfe den geordneten Betriebszustand nach der Prüfung. Ein begonnener Test bleibt bei Abbruch mit dem tatsächlichen Stand nachvollziehbar.
Praxisbeispiel
Beispiel: Ein Scanner soll eine produktive Anwendung prüfen
Ein Team plant eine technische Sicherheitsprüfung einer produktiven Anwendung. Es nutzt seinen vorhandenen Prüfauftrag.
- Vorbereitung
- FestlegungBetrieb und Prüfende stimmen Zielsysteme, Zeitfenster, begrenztes Testkonto, erlaubte Prüfschritte und einen Lastgrenzwert ab. Eine benannte Person kann den Lauf stoppen.
- NachweisDer Prüfauftrag hält die genehmigten Grenzen, Kontakte und Entscheidung fest. Der Grenzwert ist eine konkrete betriebliche Festlegung, keine ISO-Zahl.
- Durchführung und Abschluss
- FestlegungWährend des Laufs überwacht der Betrieb die Auswirkungen. Das Team hält Ergebnis und Abweichungen fest, entfernt temporäre Zugänge und unnötige Kopien und prüft den Betrieb.
- NachweisPrüfzugriffe, tatsächlicher Umfang, Ergebnis, Abschluss und notwendige Folgearbeit bleiben am Auftrag verknüpft.
Ergebnis festhalten
- Der vorhandene Prüfauftrag verbindet Ziel, Systeme, Daten, erlaubte Zugriffe, Zeitpunkt, Schutzmaßnahmen, zuständige Entscheidung und Abbruchweg.
- Tatsächliche Durchführung, Prüfzugriffe und relevante Auswirkungen sind nachvollziehbar. Temporäre Zugänge, Kopien und Ergebnisse werden geordnet und geschützt abgeschlossen.
Häufige Fehler bei der Umsetzung
Eine Prüfung unangekündigt starten
Auch eine Sicherheitsprüfung kann den Betrieb stören. Stimme Umfang, Last, Zeitpunkt und Abbruch vor dem Zugriff ab.
Dauerhafte Vollrechte bereitstellen
Begrenze Rechte und Dauer. Nutze lesenden Zugriff oder einen ausdrücklich vereinbarten kontrollierten Prüfweg und beende temporäre Zugänge danach.
Kopien und Ergebnisse ungeschützt behalten
Entferne nicht mehr benötigte Informationen. Nötige Aufbewahrung braucht weiterhin passende Zugriffe und Schutz nach euren führenden Regeln.
Eine Umsetzung für mehrere Anforderungen nutzen
Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.
Controls und Standards ansehen
- A.8.34 · Schutz von Informationssystemen während der Auditprüfung
Der Ablauf verbindet abgestimmte Planung, begrenzte Zugänge, Schutz von Betrieb und Informationen, kontrollierte Durchführung und Abschluss technischer Prüfungen. Reale Konfiguration, Durchführung und Nachweise bleiben erforderlich.
TISAX · 5.2.6
VDA ISA 6.0.3 · Teilweise Überschneidung
Der konkrete Prüfauftrag unterstützt rechtzeitige Umfangsfestlegung, Abstimmung mit Betrieb und Nutzenden, risikobewusste Durchführung, berichtete Ergebnisse und Folgearbeit. Regelmäßige Prüfungen, geeignete Kompetenz, Methoden und anwendbare Zusatzanforderungen bleiben gesondert umzusetzen.
Referenz
Vorlagen für die Umsetzung
Vorlage
Informationen, Kopien und Ergebnisse schützen
Eine Richtlinie für Informationsklassen, Kennzeichnung und den Umgang mit Informationen. Mit Feldern und Beispielmatrix für euren Betrieb.
Kostenloses ZIP · DOCX, ODT und PDF · mit Bearbeitungshilfe
Vorlage
Prüfzugänge über den vorhandenen Rechteprozess führen
Passe Identitätsverwaltung, Freigaben und Rechteprüfung an euren Betrieb an. Nutzt ihr bereits ein passendes Rollenmodell, verweist das Konzept darauf.
Kostenloses ZIP · DOCX, ODT, PDF und XLSX · mit Ausfüllhilfe
Vorlage
Bei internen Audits vorhandene Aufzeichnungen verbinden
Nutze die Vorlage, wenn eure bestehenden Auditvorgänge die nötigen Angaben nicht bereits führen. Die Methodik bleibt im ISMS-Handbuch, die Ergebnisse stehen an einer Stelle.
Kostenloses ZIP · DOCX, ODT und PDF · mit Bearbeitungshilfe
Dazu passend
Passende Maßnahme
Nötige Systemkorrekturen kontrolliert übernehmenMaßnahme ansehenFühre tatsächliche Änderungen aus Prüfergebnissen über euren vorhandenen Änderungsablauf.