Typische Audit-Prüffelder in der Cyber- und Informationssicherheit

Warum sich Wirksamkeit im Zusammenspiel der Prüffelder entscheidet und nicht im Einzelbefund

Kurzfassung

Erkenntnisse aus Prüfungen und Risikoanalysen zeigen ein wiederkehrendes Muster: Organisationen verfügen häufig über die einzelnen Bausteine, steuern sie aber nicht konsistent. Unklare Verantwortlichkeiten, fragmentierte Risikoentscheide, unvollständige Inventare, fragile Lieferketten oder unzureichend getestete Notfallfähigkeit verweisen auf strukturelle Governance-Schwächen, die sich mit technischen Mitteln allein nicht beheben lassen. Wirksam wird Sicherheit im Zusammenspiel von Governance, Risikosteuerung und technischen wie organisatorischen Kontrollen.

Das Whitepaper bündelt sieben Prüffelder, die regelmässig Gegenstand von Audits, Aufsichtsprüfungen und Risikoanalysen sind: Governance und Rollenmodell, IT- und Cyber-Risikomanagement, Outsourcing und Drittparteien, Identitäts- und Zugriffsmanagement, Informationswerte und Schutzbedarf, Business Continuity und Resilienz sowie Reporting und Eskalation. Im Mittelpunkt steht ihr Zusammenspiel. Anhand konkreter Szenarien lässt sich beurteilen, wo Kontrollschwächen über ihre Schnittstellen hinweg gemeinsam wirken.

Systemische Verwundbarkeit entsteht, wo Schwächen verschiedener Prüffelder zusammenwirken, nicht im Einzelbefund.

Kernaussagen

Cyber- und Informationssicherheit ist vor allem eine Führungs- und Steuerungsaufgabe. Ihre Wirksamkeit beruht auf dem Zusammenspiel klarer Verantwortlichkeiten, konsistenter Risikoentscheidungen und wirksamer technischer wie organisatorischer Kontrollen.
Zu jedem der Audit-Prüffelder gehören Leitfragen für die Führung und ein beispielhafter Prüfnachweis, an dem sich Aussagen zur Wirksamkeit überprüfen lassen.
Informationswerte sind ein Querschnittsknoten: Wo Werttransparenz fehlt, können sich Schwächen in mehreren Prüffeldern gegenseitig verstärken.
Das Prüfraster ist keine Checkliste, sondern ein Bezugsrahmen, um zu beurteilen, ob Governance, Risikosteuerung und Umsetzung als Gesamtsystem funktionieren.

Zielgruppe

Führungs- und Aufsichtsgremien sowie verantwortliche Funktionen in IT, Informationssicherheit, Risiko und Compliance.