Unternehmen sind im Rahmen des Informationssicherheitsmanagementsystems (ISMS) gemäß ISO/IEC 27001 dazu verpflichtet, in geplanten Abständen unabhängige interne Audits durchzuführen. Das erklärte Ziel dieser Prüfungen ist es festzustellen, ob die Normanforderungen sowie die eigenen internen Vorgaben erfüllt werden und das ISMS auch wirklich gelebt wird. Die Durchführung solcher Audits stellt oft für kleine und mittelständische Unternehmen (KMU) eine Herausforderung dar, besonders wenn sie aufgrund der geringen Mitarbeiteranzahl die Unabhängigkeit des internen Auditors vom auditierten Umfeld und Tätigkeit nicht gewährleisten können. In solchen Fällen und insbesondere wenn der Fokus auf der Identifikation von Verbesserungspotentialen liegt, empfiehlt es sich die Prüfung des Managementsystems durch einen externen berufenen Auditor durchführen zu lassen.

Auditor ≠ Auditor

Im Bereich der Informationssicherheit gibt es leider keine gesetzlich geschützte Berufsbezeichnung für die Tätigkeit des Auditors. So ist es möglich, dass Personen diesen Titel führen, die ausschließlich eine Schulung von wenigen Tagen absolviert haben. Gleiches gilt für Berater, die in ihrer beruflichen Laufbahn noch keine operative Verantwortung im Bereich der IT-Sicherheit sowie Informationssicherheit innehatten und trotz der fehlenden eigenen Praxiserfahrung ihren Kunden den Weg weisen. Wer selbst operativ in der IT tätig ist, weiß das die besagte Praxis sich oft anders verhält als es die Theorie es vorsieht. Gerade das operative Wissen, ist für die Prüfung der Informationssicherheit und Identifikation von Verbesserungspotentialen von großer Bedeutung. Die Prüfdienstleister haben diesen Umstand unlängst erkannt und stellen deshalb klare Anforderungen an ihre Auditoren, bevor diese berufen werden und im Namen der Zertifizierungsstelle tätig werden dürfen.

Vorteile der internen Prüfung durch berufene Auditoren:

• Unzweifelhafte Compliance mit den Normvorgaben für die Durchführung von internen Audits
• Hohe Sach- und Fachkenntnisse
• Objektive Bewertung auf dem Niveau eines Zertifizierungsaudits
• Effizientes und routiniertes Vorgehen bei der Durchführung des Audits