A.8 Technologische Maßnahmen
Schutz von Informationssystemen bei Audit-Tests
Audit-Tests und andere Sicherungsmaßnahmen, die den Zugriff auf produktive Systeme beinhalten, müssen geplant und zwischen Prüfer und Management vereinbart werden.
Was fordert dieses Control?
Audit-Tests und andere Sicherungsmaßnahmen, die den Zugriff auf produktive Systeme beinhalten, müssen geplant und zwischen Prüfer und Management vereinbart werden.
Warum ist das wichtig?
Auditaktivitäten an Produktivsystemen können den Betrieb stören oder Daten gefährden. Abgestimmte, kontrollierte Tests schützen die Verfügbarkeit während der Prüfung.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| TISAX | 1.2.3 | Direkt |
| BSI | DER.3.1 | Direkt |
Was der Auditor erwartet
- 1Abstimmung von Audit-Tests mit dem Management
- 2Schutz der Produktivsysteme während der Prüfung
- 3Begrenzung und Protokollierung der Zugriffe
Audit-Checkliste
Dokumente
Audit-Test-Vereinbarung
Geplanter Umfang, Zeitfenster und Schutzmaßnahmen
Nachweise
Protokolle der Audit-Zugriffe
Kontrollierte, nachvollziehbare Prüfzugriffe
Praxis-Tipps zur Umsetzung
Zugriffe begrenzen
Prüfern nur lesenden, nötigen Zugriff in abgestimmten Zeitfenstern geben.
Schonend testen
Belastende Tests außerhalb von Stoßzeiten und mit Rückfalloption planen.
Alles protokollieren
Audit-Aktivitäten an Produktivsystemen vollständig dokumentieren.
Häufige Fehler
Ungeplante Tests
Prüfungen stören den Betrieb, weil sie nicht abgestimmt sind.
Zu weitreichender Zugriff
Prüfer erhalten unnötig umfangreiche Rechte auf Produktivsysteme.
Häufig gestellte Fragen
Worum geht es bei A.8.34 konkret?
Um den Schutz produktiver Systeme, wenn Audit- oder Prüfaktivitäten direkt auf sie zugreifen.
Wer muss Audit-Tests genehmigen?
Sie werden zwischen Prüfer und Management vorab geplant und vereinbart.
Gilt das auch für interne Audits?
Ja, auch interne Prüfungen mit Zugriff auf Produktivsysteme sollten abgestimmt und kontrolliert erfolgen.
So hilft CompliantDesk bei A.8.34
Planen Sie Audit-Aktivitäten im Audit-Simulations- und Kalender-Modul und dokumentieren Sie abgestimmte, kontrollierte Prüfzugriffe.