Zug um Zug: Wie gelingt ein erfolgreiches IT-Audit?

Durch sorgfältig geplante IT-Audits lassen sich potenzielle Risiken, Schwachstellen und Mängel in den Unternehmenssystemen frühzeitig identifizieren und Unternehmen können feststellen, ob ihre automatisierten Systeme gut funktionieren und ob ihre Assets und Daten genügend geschützt. So laufen sie keine Gefahr, ihr Netzwerk z. B. durch unentdeckte Datenlecks oder veraltete Technologien zu gefährden.

Die Schwerpunkte von IT-Audits variieren je nach Branche oder aktuellen Business-Herausforderungen. Entweder stehen eher technische Aspekte der eingesetzten IT-Systeme im Vordergrund, oder auch damit zusammenhängende organisatorische und kaufmännische Fragestellungen werden inkludiert. Die Zielrichtung bestimmt dabei, wie umfangreich ein IT-Audit durchgeführt werden muss.

Stellt ein Audit-Prozess die allgemeine Sicherheitsfrage in den Fokus, werden für eine umfassende Risikobewertung wirklich alle Abteilungen im Unternehmen einbezogen. Konzentriert sich ein IT-Audit dagegen nur auf einen einzelnen Aspekt, dann werden vor allem Sicherheit, Genauigkeit und Gültigkeit der damit zusammenhängenden Prozesse überprüft. Damit Audit-Verantwortliche wirksame Ergebnisse erzielen, müssen sich konsequent klar machen, welche Zielsetzung(en) sie verfolgen.

IT-Audits haben daneben aber noch weitere Vorteile: Die im Rahmen des Audit-Prozesses gewonnenen Erkenntnisse bieten einen tiefgehenden Einblick in das Unternehmen, seine Prozesse und Strukturen. Ein Einblick, der für den operativen Betrieb von großem Wert sein und in diesem Ausmaß in der Regel nicht über externe Dritten erlangt werden. Unternehmen überprüfen mithilfe eines IT-Audit, z. B. ob ihre digitalen Prozesse aktuellen Compliance-Vorschriften entsprechen. Diese befolgte Compliance lässt sich mit der Audit-Dokumentation auch gegenüber externen Stellen nachweisen.

Mein Kollege Andreas Klare berichtete ja bereits über die Einführung der neuen NIS2-Richtlinien. Nicht zuletzt durch diese und nachfolgende Gesetzgebung werden solche dokumentierten Sicherheitsnachweise in Zukunft noch wichtiger werden.

• Prüfen des gesamten IT-Asset-Managements inklusive Dokumentation, Bereitstellung, Wartung und notwendiger Aktualisierungen
• potenzielle Schwachstellen, Bedrohungen und Risiken für das Unternehmensnetzwerk identifizieren
• Compliance sicherstellen (nur als Beispiele: etwa dass Software lizenzgerecht genutzt wird oder Daten DSGVO-konform gesichert sind)
• operative Abläufe verbessern und möglicher Engpässe beseitigen, z. B. beim Datenfluss zwischen Anwendungen
• Geschäftsprozesse übergreifend systematisieren, verbessern und integrieren
• Überprüfen, ob IT-Prozesse und IT-Strategie noch mit den Gesamtzielen des Unternehmens übereinstimmen (Stichwort: digitale Transformation)
• Kosten der geprüften IT-Prozesse reduzieren

Auch nach der Zieldefinition geht es systematisch weiter. Schon im Vorfeld sollte eine transparente Kommunikation alle Beteiligten rechtzeitig über die Details des Audit-Prozesses informieren und sie so auf die Teilnahme vorbereiten. Welche Schritte ein Audit-Prozess umfasst, lässt sich gut anhand eines beispielhaften Patch-Management-Audits veranschaulichen:

1. aktuelle Richtlinien und Prozesse überprüfen, die im Unternehmen für das Patch-Management im Einsatz sind
2. aktuellen Patch-Status durch Netzwerk-Scans ermitteln
3. ungepatchte Schwachstellen und deren Ursachen überprüfen
4. Risk-Management-Verfahren, die den Patching-Prozess beeinflussen, analysieren
5. Metriken überprüfen, ob sie sich für die Evaluierung der Informationen eignen
6. Kommunikationswege der Patch-Management-Verantwortlichen prüfen
7. Prozessengstellen identifizieren
8. Schriftliches Festhalten aller Ziele des Patch Managements und aller davon möglicherweise betroffenen Vertragsvereinbarungen

Wer die gesammelten Informationen so präzise wie möglich dokumentiert, kann sie anschließend optimal analysieren. Wurden anfangs Evaluierungsrichtlinien festgelegt, gilt es, sie am Ende des Prozesses abermals kritisch zu überprüfen, ob diese mit den anfänglichen Zielsetzungen noch übereinstimmen.

Und das Wichtigste ist natürlich, die aus dem Audit-Prozess gewonnenen Erkenntnisse anschließend auch wirklich schrittweise umzusetzen und zu überwachen. Das kann beispielsweise durch die Definition neuer oder aktualisierter Richtlinien erfolgen.