Maßnahmenbereiche nach ISO/IEC 27001
Auditkriterien für vereinbarte Themen des Informationssicherheitsmanagements und der Sicherheitskontrollen; keine Zertifizierung.
IT-Audits
IT-Sicherheitsaudits
Ein Audit mit festgelegtem Umfang vergleicht dokumentierte und tatsächlich umgesetzte Kontrollen mit vereinbarten Kriterien. Es identifiziert Lücken und Verbesserungsprioritäten, führt jedoch für sich genommen nicht zu einer Zertifizierung.
Prüfumfang
Was getestet wird
Der endgültige Prüfumfang wird bei der Auftragsabgrenzung vereinbart und ist auf Systeme beschränkt, für die eine schriftliche Genehmigung vorliegt.
Sicherheitsgovernance und Verantwortlichkeiten für Assets
Identitäts- und Zugriffsmanagement
Sichere Konfiguration und Änderungskontrolle
Schwachstellen- und Patchmanagement
Protokollierung, Überwachung, Datensicherung und Wiederherstellung
Prozesse für Lieferantenmanagement, Vorfallmanagement und Geschäftskontinuität
Auftragsablauf
Kontrolliert von der Autorisierung bis zum Wiederholungstest.
01
Prüfumfang & Autorisierung
Definieren Sie Ziele, freigegebene Systeme, Einschränkungen, Testzeitfenster, Ansprechpartner und Durchführungsregeln.
02
Bestandsaufnahme
Legen Sie die autorisierte Angriffsfläche, Architektur, Benutzerrollen, Assets und anwendbaren Prüfkriterien fest.
03
Kontrollierte Tests
Prüfen Sie den freigegebenen Umfang mit manuellen und technischen Methoden, die für die jeweilige Umgebung geeignet sind.
04
Validierung
Bestätigen Sie Befunde auf sichere Weise, schließen Sie Fehlalarme aus und ermitteln Sie die tatsächlichen technischen und geschäftlichen Auswirkungen.
05
Berichterstattung
Sie erhalten durch Nachweise belegte Feststellungen, Risikobewertungen, eine Managementzusammenfassung und Prioritäten für die Behebung.
06
Prüfung der Behebungsmaßnahmen
Prüfen Sie die vorgeschlagenen Korrekturmaßnahmen und klären Sie die Umsetzungsprioritäten mit dem Prüfungsteam.
07
Nachtest
Überprüfen Sie die vereinbarten Korrekturen und dokumentieren Sie für jeden geprüften Befund, ob er behoben, abgemildert oder weiterhin offen ist.
Prüfungsreferenzen
Branchenstandards und Leitlinien
CIS Controls
Priorisierte Schutzmaßnahmen und Prüfung von Nachweisen zu technischen und betrieblichen Kontrollen.
NIST Cybersecurity Framework
Risiko- und Fähigkeitskontext für die Funktionen Steuern, Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen.
CIS Benchmarks
Konfigurationskriterien für ausgewählte Systeme, sofern diese zum Prüfumfang gehören.
Standards dienen als Grundlage für den Prüfumfang und die Testabdeckung. Eine Prüfung stellt für sich genommen keine Zertifizierung dar und garantiert keine Konformität.
Berichterstattung
Was Sie erhalten
Erklärung zu Auditumfang und Prüfkriterien
Durch Nachweise belegte Feststellungen
Verzeichnis der Kontrolllücken und Risiken
Priorisierter Verbesserungsplan
Management-Briefing und anschließende Überprüfung
Legen Sie einen geeigneten Prüfumfang fest.
Besprechen Sie die Systeme, Ziele, Zugriffsebene und erforderlichen Nachweise mit DIGITPOL.