IT-Audit / Security Audit
Ein IT-Audit oder Security-Audit ist eine systematische Bestandsaufnahme der Informationssicherheit. Die Prüfung erfolgt entweder gegen einen etablierten Standard wie ISO 27001 oder BSI Grundschutz zur Erfüllung von Compliance-Anforderungen, oder auf Basis eines individuell mit dem Kunden ermittelten Bedarfs, falls keine externen Vorgaben existieren.
Audit vs. Penetrationstest: Ein grundlegender Unterschied
Die beiden Begriffe werden oft verwechselt, beschreiben aber unterschiedliche Vorgehensweisen mit verschiedenen Zielen:
Das Audit
Ein Audit beantwortet die Frage: "Machen wir die Dinge richtig?" Es ist eine White-Box-Prüfung, die die Konformität von Systemen und Prozessen mit einem vordefinierten Soll-Zustand (einer Norm, einer Richtlinie) vergleicht. Das Ziel ist der Nachweis von Korrektheit und Compliance.
Der Penetrationstest
Ein Penetrationstest beantwortet die Frage: "Sind unsere Systeme widerstandsfähig gegen einen Angriff?" Er ist eine Black-Box- oder Grey-Box-Simulation, die versucht, Schwachstellen aktiv auszunutzen, um deren reales Risiko zu demonstrieren. Das Ziel ist der Nachweis der Ausnutzbarkeit.
Beide Maßnahmen sind für eine umfassende Sicherheitsstrategie notwendig und ergänzen sich gegenseitig.
Unsere Prüfungsfelder
Unsere Audits können je nach Kundenbedarf verschiedene Schwerpunkte haben:
Organisatorische & prozessuale Audits
Prüfung des Informationssicherheits-Managementsystems (ISMS), der Prozesse und der Dokumentation auf Konformität mit Standards wie ISO 27001, BSI Grundschutz oder branchenspezifischen Vorgaben (z.B. TISAX, DORA).
Technische System-Audits
Tiefgreifende Konfigurationsanalyse kritischer Systeme wie Active Directory, Firewall-Regelwerke, Cloud-Umgebungen (Azure, AWS) oder spezifischer Server-Anwendungen zur Identifikation von Härtungs- und Konfigurationsfehlern.
Das Ergebnis: Der Auditbericht
Das Ergebnis unserer Arbeit ist ein technisch detaillierter Auditbericht. Er enthält eine nachvollziehbare Auflistung aller Feststellungen, eine Bewertung der damit verbundenen Risiken und pragmatische Handlungsempfehlungen, die sich an den technischen und wirtschaftlichen Möglichkeiten des Kunden orientieren. Auf Wunsch unterstützen wir bei der anschließenden Umsetzung der Maßnahmen.
Ein Gespräch dient der Klärung, welcher Audittyp und -umfang für Ihre aktuelle Situation den größten Nutzen stiftet.