1. Die unterschiedlichen Prüfungsmodelle verstehen
ISO/IEC 27001 definiert Anforderungen an ein Informationssicherheitsmanagementsystem. Eine Zertifizierung umfasst dessen unabhängige Bewertung innerhalb eines festgelegten Geltungsbereichs. Risikobewertung, Entscheidungen zur Risikobehandlung und die Erklärung zur Anwendbarkeit erläutern, welche Kontrollen erforderlich sind und wie sie umgesetzt werden.
SOC 2 ist eine Prüfung anhand relevanter Trust Services Criteria, keine Zertifizierung nach dem ISO-Modell. Ein Bericht vom Typ I behandelt die Ausgestaltung der Kontrollen zu einem bestimmten Stichtag; Typ II umfasst zusätzlich deren operative Wirksamkeit über einen festgelegten Zeitraum. Die Nachweisplanung muss Geltungsbereich, Kriterien und Berichtszeitraum berücksichtigen, statt beide Ansätze gleichzusetzen.
- Stimmen Sie Geltungsbereich und Nachweiserwartungen frühzeitig mit der zuständigen Prüfungsstelle ab.
2. Inventare und Berechtigungsprüfungen nachvollziehbar machen
Ein Inventar hilft, die Grundgesamtheit einer Kontrolle zu bestimmen. Nützliche Felder sind eine stabile Kennung, Verantwortliche, Lebenszyklusstatus, Quelle und Datum der letzten Verifizierung. Eine reine Geräteliste zeigt weder, dass sämtliche relevanten Geräte enthalten sind, noch dass sie angemessen verwaltet werden.
Nachweise einer Berechtigungsprüfung sollten erkennen lassen, wer welche Zugriffsrechte geprüft hat, welche Entscheidung getroffen wurde und wie notwendige Änderungen nachverfolgt wurden. Bewahren Sie die geprüfte Grundgesamtheit und Ausschlüsse auf. Eine Freigabe ohne Begründung oder Verbindung zur Mängelbehebung lässt wichtige Fragen offen.
- Gleichen Sie Inventarstichproben mit maßgeblichen Quellen ab.
- Unterscheiden Sie den Abschluss der Prüfung vom verifizierten Abschluss notwendiger Korrekturen.
3. Lieferanten und Änderungen mit Zuständigkeiten verbinden
Lieferanteninformationen unterstützen das Risikomanagement für Dritte, wenn sie Leistung, verantwortliche Person, Bewertungsdatum und offene Punkte dokumentieren. Ein Vertrag oder Lieferantenname allein zeigt nicht, dass Risiken bewertet oder durch eine befugte Person akzeptiert wurden.
Änderungsaufzeichnungen sollten den Änderungsvorschlag soweit relevant mit Freigabe, Umsetzung, Validierung und Ausnahmen verbinden. Benennen Sie sowohl die Kontrollverantwortlichen als auch die ausführenden Personen je Schritt. Zuständigkeiten müssen auch dann eindeutig bleiben, wenn IT, Personalabteilung, Finanzen und externe Dienstleister am selben Prozess beteiligt sind.
- Dokumentieren Sie Prüftermine und Zuständigkeiten für offene Lieferantenbefunde.
- Verknüpfen Sie Änderungsergebnisse mit Validierungsnachweisen, nicht nur mit einem geschlossenen Ticket.
4. Prozessbeschreibung und Durchführungsnachweis unterscheiden
Ein dokumentierter Prozess beschreibt das erwartete Vorgehen. Betriebliche Aufzeichnungen zeigen, was in einzelnen Fällen tatsächlich geschehen ist. Prüfende benötigen gegebenenfalls beides: eine aktuelle Verfahrensbeschreibung mit Zuständigkeit und Freigabehistorie sowie Stichproben zur Anwendung im relevanten Zeitraum.
In einem fiktiven Beispiel verlangt das Verfahren vierteljährliche Berechtigungsprüfungen, während nur Unterlagen für das letzte Quartal vorliegen. Diese Lücke muss dokumentiert und untersucht werden. Eine heute nachträglich erstellte Freigabe würde nicht belegen, dass die frühere Prüfung zum vorgeschriebenen Zeitpunkt stattgefunden hat.
- Halten Sie Richtlinienversionen unterscheidbar und ordnen Sie Stichproben der jeweils gültigen Version zu.
- Erfassen Sie Ausnahmen, deren Genehmigung und den Stand der Korrekturmaßnahmen.
5. Lojycal als unterstützende Infrastruktur einsetzen
Lojycal verbindet Inventar, Lizenzen, Beschaffung, Finanzen, Mitarbeiterprozesse, Richtlinien und Nachweismodule in einer betrieblichen Plattform. Relevante Datensätze können die Nachweisvorbereitung unterstützen, sofern benötigte Daten und Abläufe verfügbar sind. Bestätigen Sie Abdeckung, Berechtigungen und Konfiguration für Ihren Tarif und Arbeitsbereich.
Ausschließlich ergänzbare Auditprotokolle und Mechanismen für signierte Nachweisexporte unterstützen Rückverfolgbarkeit und Integritätsprüfungen. Sie machen nicht jeden Datensatz unveränderlich und belegen keine Kontrollwirksamkeit. Lojycal zertifiziert eine Organisation nicht automatisch und garantiert keinen erfolgreichen Audit. Kontrollauswahl, Auslegung der Nachweise und abschließende Prüfung bleiben menschliche Aufgaben.
- Prüfen Sie jede vorgeschlagene Zuordnung von Datensätzen zu Kontrollen mit den jeweiligen Kontrollverantwortlichen.
6. Einen klar abgegrenzten Nachweisplan erstellen
Erstellen Sie eine Anforderungsliste, die jedem Kontrollziel Quelle, Zuständigkeit, Häufigkeit, Zeitraum und Prüfmethode zuordnet. Beheben Sie Lücken in Abdeckung oder Verifizierung vor rein gestalterischen Verbesserungen. Stimmen Sie Stichproben und Format mit der Prüfungsstelle ab, statt anzunehmen, eine Übersicht erfülle sämtliche Anforderungen.
Wählen Sie für die Bewertung eine Inventarkontrolle und eine Berechtigungsprüfung. Verfolgen Sie deren Aufzeichnungen von der Quelle über die Prüfung bis zum Export. Prüfen Sie, ob eine andere Person die Schlussfolgerungen ohne das Erinnerungswissen der ursprünglich ausführenden Person nachvollziehen kann.
- Testen Sie den Umgang mit fehlenden Datensätzen, überfälligen Prüfungen und offenen Ausnahmen.
- Besprechen Sie Nachweisanforderungen über /contact, ohne ein bestimmtes Konformitätsergebnis vorauszusetzen.