Prüfwerkzeuge in der Cyber- und Informationssicherheit
Risikobasierter und evidenzorientierter Einsatz von Selbstdeklaration, Nachweiskontrolle, Vor-Ort-Besuch und Audit unter Berücksichtigung knapper Ressourcen
Kurzfassung
Wer Informationssicherheit prüfen will, steht vor einer doppelten Herausforderung: Die Bedrohungslage ist komplex und dynamisch, die Prüfressourcen sind begrenzt. Entscheidend ist deshalb nicht, ob geprüft wird, sondern wie und mit welchen Mitteln.
Das Whitepaper beschreibt vier in der Praxis verbreitete Prüfwerkzeuge: Selbstdeklaration, Nachweiskontrolle, Vor-Ort-Besuch und formales Audit. Es zeigt, wie sich die Werkzeugwahl aus Risikokategorie, Prüfziel und erforderlichem Nachweis ableitet, woran sich die Belastbarkeit von Nachweisen bemisst und wie mit Nachweislücken umzugehen ist. Es orientiert sich an den Prüfgrundsätzen von ITAF und ISO 19011. Prüfnachweise und Leitfragen für Leitungs- und Aufsichtsgremien unterstützen die Standortbestimmung.
Entscheidend ist nicht die Zahl der Prüfungen, sondern ob ihre Nachweise eine belastbare Risikobeurteilung ermöglichen und wesentliche Nachweislücken bewusst behandelt werden.
Kernaussagen
- Prüfwerkzeuge werden vom Risiko, vom Prüfziel und vom erforderlichen Nachweis her gewählt. Ihre Bezeichnung allein sagt nichts über die Belastbarkeit des Ergebnisses aus.
- Betriebsnachweise können die Anwendung von Kontrollen über einen Zeitraum belegen. Beobachtungen vor Ort ergänzen sie, zeigen aber zunächst einen Zeitpunkt.
- Die Grundsätze des Prüfprogramms und der Umgang mit wesentlichen Nachweislücken sind Governance-Entscheidungen. Eine Lücke wird offengelegt und darf nicht stillschweigend als Sicherheit gelten.
- Geeignete Prüfungen Dritter können eigene Prüfungshandlungen teilweise ersetzen. Auswertung und verbleibende Lücken bleiben Aufgabe der beauftragenden Organisation.
Zielgruppe
Verantwortliche für Audits, Kontrollen und die Steuerung von Leistungserbringern sowie Leitungs- und Aufsichtsgremien.