IT- Sicherheitsprüfung: Eine Einführung
In this page
- IT security audits evaluate
Von allen Organisationen, die mit Benutzerdaten umgehen, wird erwartet, dass sie die Vertraulichkeit, Integrität und Verfügbarkeit der Daten gewährleisten, auch bekannt als CIA-Triade. Vertraulichkeit bezieht sich auf den Schutz vor unbefugten Einblicken. Integrität bedeutet, die Genauigkeit der Daten über ihren gesamten Lebenszyklus hinweg zu gewährleisten. Und Daten sollten bei Bedarf verfügbar sein – für den schlimmsten Fall sollte ein Notfallplan vorhanden sein.
Organisationen setzen Risikomanagementsysteme ein, um Schwachstellen und Bedrohungen für ihre Datenbestände zu identifizieren. Bei der IT-Sicherheitsprüfung werden Nachweise dafür gesammelt, dass die von der Organisation eingesetzten IT-Kontrollen, Sicherheitssysteme und Risikominderungsstrategien den Branchenstandards entsprechen.
Einige dieser Standards sind das NIST Cyber Security Framework (NIST CSF), ISO 27001 und IEC 62443, die Techniken und Richtlinien für die Cybersicherheit definieren. Die Compliance-Vorschriften variieren je nach Branche und Region.
Da sich sowohl das Geschäftsumfeld als auch die Gefahrenlandschaft ständig weiterentwickeln, handelt es sich hierbei um einen iterativen Prozess. Das Risikomanagement und die anschließende Prüfung der Risiken sollten daher ein kontinuierlicher Prozess sein und nicht nur eine einmalige oder seltene Bewertung. Es ist wichtig, über ein IT-Sicherheits-Überprüfungssystem zu verfügen.
Über diesen Explainer: Die Einhaltung gesetzlicher Vorschriften erfordert eine kontinuierliche Überwachung und Berichterstattung. Erfahren Sie in unserer Expertenreihe zu den Themen „Was ist SIEM“ und „SIEM-Tools“, wie SIEM Unternehmen dabei hilft, für Prüfungen gerüstet zu sein.
Im Großen und Ganzen bewerten IT-Sicherheitsprüfungen:
- Sicherheit
- Kontrollen
- Leistung
- Risikominderungsprozesse
Die Sicherheit von IT-Systemen bezieht sich auf die Firewall-Sicherheit im Netzwerk, die physische Zugriffssicherheit, die Passwortsicherheit, die Computersicherheitseinstellungen, die Benutzerrechte usw. Zu den IT-Kontrollen gehören die Organisation und Verwaltung der IT-Infrastruktur, der physische und logische Zugriff auf Netzwerkressourcen, Kontrollen zur Notfallwiederherstellung und so weiter.
Die Leistung des Netzwerks, der Computer und der Anwendungen wird ebenfalls bewertet. Dazu gehören in der Regel die Messung von Parametern wie Reaktionszeit, Durchlaufzeit sowie Festplattennutzung und -verfügbarkeit, um nur einige zu nennen. Risikominderungsprozesse umfassen die präventiven, detektiven und korrigierenden Maßnahmen, die von der Organisation ergriffen werden, um Vorfälle vorherzusagen und zu melden und deren Auswirkungen zu minimieren. Dazu gehören Aktivitäten wie die Überwachung automatisierter Prozesse, die Identifizierung ungewöhnlicher Aktivitäten, die Überwachung des Datenzugriffs, das Testen, Überwachen und Kontrollieren des Fernzugriffs sowie die Erstellung von Prüfpfaden.