Ein Sicherheitsaudit ist die systematische Prüfung eines Systems oder einer Organisation gegen einen festgelegten Maßstab. Geprüft wird, ob die Vorgaben eingehalten sind, nicht ob jemand hereinkommt.
- Sicherheitsaudit
Die systematische Prüfung eines Systems oder einer Organisation gegen einen festgelegten Maßstab.
Beispiel: „Das Sicherheitsaudit deckte auf, dass drei Konten ausgeschiedener Mitarbeiter noch aktiv waren.“Auch: Security Audit. Findet die Prüfung durch eine unabhängige Stelle statt, spricht man von einem externen Audit.
Abgrenzung zum Penetrationstest: Der sucht den Weg hinein. Das Audit vergleicht den Ist-Zustand mit einer Liste von Anforderungen.
Was in einem Sicherheitsaudit geprüft wird
Technik, Abläufe und Papier. Technisch sind es Einstellungen, Versionsstände, Rechte und Protokollierung; bei den Abläufen geht es um Zuständigkeiten, Freigaben und das Verhalten im Ernstfall; und auf dem Papier um Richtlinien, Verträge und Nachweise. Der dritte Teil ist der, der am häufigsten unterschätzt wird und bei dem die meisten Befunde entstehen.
Was ein Auditbericht wert ist
So viel wie die Arbeit danach. Ein Bericht mit sechzig Befunden und ohne Zuordnung liegt nach vier Wochen in einer Ablage; ein Bericht mit zwanzig Befunden, einer Reihenfolge und je einem Namen daneben verändert etwas. Wer ein Audit beauftragt, sollte deshalb die Nachbereitung mitplanen und nicht nur die Prüfung.
Wann sich ein Audit lohnt
Vor einem Umbau, nach einem Vorfall und wenn jemand es verlangt. Vor einem Umbau, weil sich Befunde dann günstig miterledigen lassen; nach einem Vorfall, weil die Frage „wo noch?“ sonst offen bleibt; und auf Verlangen eines Kunden oder eines Standards wie PCI DSS, wo der Nachweis selbst der Zweck ist.