1. Den Prüfungsumfang vor der Nachweissammlung festlegen
Eine Prüfung wird langsam und unzuverlässig, wenn Teams Bildschirmaufnahmen sammeln, bevor geklärt ist, was sie nachweisen müssen. Geeignete Nachweise hängen vom tatsächlichen Rahmenwerk, Prüfungszeitraum, organisatorischen Geltungsbereich und den einbezogenen Kontrollen ab. Ein Sicherheitsfragebogen im Einkauf kann andere Unterlagen erfordern als eine interne Berechtigungsprüfung oder eine Zertifizierungsprüfung.
- Halten Sie Rahmenwerk oder Fragebogen, Prüfungszeitraum, Systeme, Organisationseinheiten und Ausschlüsse fest.
- Benennen Sie für jede Anforderung eine kontrollverantwortliche und eine prüfende Person.
- Vereinbaren Sie mit der Prüfungsleitung zulässige Nachweisformate, Stichprobenregeln und Kriterien für die abschliessende Freigabe.
2. Geräte, Identitäten und Anwendungsverantwortung abgleichen
Ein Verzeichnis ist nur hilfreich, wenn seine Abdeckung und Grenzen erkennbar sind. Vergleichen Sie relevante Quellen, statt anzunehmen, eine einzelne Liste erfasse sämtliche Geräte, Konten oder Anwendungen. Nicht zugeordnete Datensätze können auf fehlende Verantwortung, veraltete Daten oder eine tatsächliche Kontrolllücke hinweisen. Untersuchen Sie diese Fälle vor ihrer Einstufung.
- Prüfen Sie Gerätekennungen, zugeordnete Personen, Lebenszyklusstatus und den Zeitpunkt der letzten Beobachtung.
- Unterscheiden Sie Beschäftigte, externe Mitarbeitende, Dienstidentitäten, privilegierte und deaktivierte Konten.
- Benennen Sie für jede einbezogene Anwendung eine fachlich verantwortliche Person; dokumentieren Sie offene Zuordnungen.
- Erfassen Sie fehlende Quellen und deren Auswirkungen auf die Grundgesamtheit der Prüfung.
3. Berechtigungen und Lieferantenverantwortung prüfen
Berechtigungsprüfungen sollen klären, ob ein Zugriff weiterhin angemessen ist – nicht nur, ob ein Konto existiert. Lieferantenunterlagen sollten den Dienst, seine verantwortliche Person und relevante Vertragsnachweise erkennen lassen. Eine ausgefüllte Checkliste ersetzt nicht die Untersuchung einer ungeklärten privilegierten Berechtigung.
- Lassen Sie Verantwortliche Zugriffe bestätigen, hinterfragen oder zur Korrektur melden, jeweils mit Datum und Begründung.
- Berücksichtigen Sie privilegierte Rollen, gemeinsam genutzte Zugänge sowie relevante Eintritte, Wechsel und Austritte.
- Prüfen Sie Lieferantenkontakte, Leistungszweck, Datenkategorien und verfügbare Vertragsunterlagen.
- Verfolgen Sie Korrekturen getrennt von Freigaben: Eine beantragte Entfernung belegt noch keinen beendeten Zugriff.
4. Richtlinien, Änderungen und Nachweisquellen verbinden
Verbinden Sie für jede Kontrolle die schriftliche Vorgabe mit Nachweisen ihrer Anwendung. Eine Richtlinie beschreibt die Absicht; ein Änderungsprotokoll, eine Freigabe oder eine Beobachtung im Quellsystem kann das tatsächliche Geschehen belegen. Relevanz, Vollständigkeit und zeitliche Abdeckung der Nachweise müssen dennoch geprüft werden.
- Bestätigen Sie Richtlinienversion, Freigabedatum, verantwortliche Person und Geltungsbereich.
- Erfassen Sie Herkunft, Erhebungsdatum, abgedeckten Zeitraum und etwaige Aufbereitung der Nachweise.
- Verknüpfen Sie relevante Änderungen mit Freigaben, Umsetzungsergebnissen und anschliessender Verifikation.
- Prüfen Sie Aufbewahrungsvorgaben und beschränken Sie den Nachweiszugriff, insbesondere bei personenbezogenen Daten.
5. Verknüpfte Datensätze nicht als umfassende Sicherheit auslegen
Lojycal kann Betriebsdaten, Richtlinien und Nachweise für Prüfungen strukturieren. Die Abdeckung hängt von eingerichteten Verbindungen, Anbieterberechtigungen sowie Tarif- und Rollenvorgaben ab. Nur ergänzbare Audit-Protokolle und signierte Nachweisexporte unterstützen Nachvollziehbarkeit und Integritätsprüfungen. Sie machen nicht jeden Datensatz unveränderlich und begründen weder Zertifizierung noch Rechtskonformität.
Fiktives Beispiel: Northbank Studio entdeckt ein Anwendungskonto einer ausgeschiedenen Person. Die prüfende Person dokumentiert die Abweichung, veranlasst eine autorisierte Zugriffsprüfung und hält den Vorgang offen, bis eine erneute Quellenprüfung das Ergebnis bestätigt. Ein verknüpfter Datensatz allein beweist nicht, dass der Zugriff entfernt wurde.
6. Mit sichtbaren Lücken und verantworteter Freigabe abschliessen
Eine belastbare Prüfung darf offene Lücken enthalten, sofern diese sichtbar und zugeordnet sind. Bewerten Sie Unbekanntes nicht als erfüllt, nur um den Bericht abzuschliessen. Unterscheiden Sie weiterhin zwischen gesammelten Nachweisen, akzeptierten Nachweisen und verifizierten Korrekturen.
- Erfassen Sie jede Lücke mit betrieblichen Auswirkungen, Verantwortung, Zieltermin und vorläufiger Behandlung.
- Dokumentieren Sie Prüfungsergebnisse, Ausnahmen und gegebenenfalls eine autorisierte Risikoakzeptanz.
- Halten Sie abschliessende Freigabe, Umfangsgrenzen und den Auslöser der nächsten Prüfung fest.
- Bewerten Sie Lojycal anhand einer repräsentativen Kontrolle: Verfolgen Sie Inventar, Freigabe, Nachweise und offene Punkte; klären Sie Export- und Aufbewahrungsanforderungen mit dem Team.