ISO 27001:2022 · A.8.34 · A.8 Technologische Maßnahmen
Schutz von Informationssystemen bei Audit-Tests
Audit-Tests und andere Sicherungsmaßnahmen, die den Zugriff auf produktive Systeme beinhalten, müssen geplant und zwischen Prüfer und Management vereinbart werden.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Audit-Tests und andere Sicherungsmaßnahmen, die den Zugriff auf produktive Systeme beinhalten, müssen geplant und zwischen Prüfer und Management vereinbart werden.
Warum ist das wichtig?
Auditaktivitäten an Produktivsystemen können den Betrieb stören oder Daten gefährden. Abgestimmte, kontrollierte Tests schützen die Verfügbarkeit während der Prüfung.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 1.2.3 | Audit-Durchführung | Direkt |
| BSI | DER.3.1 | Audits und Revisionen | Direkt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Direkt |
| NIS2 | § 30 Abs. 2 Nr. 6 BSIG | Wirksamkeitsbewertung | Indirekt |
Was der Auditor erwartet
- Abstimmung von Audit-Tests mit dem Management
- Schutz der Produktivsysteme während der Prüfung
- Begrenzung und Protokollierung der Zugriffe
Audit-Checkliste
Dokumente
Audit-Test-VereinbarungGeplanter Umfang, Zeitfenster und Schutzmaßnahmen
Nachweise
Protokolle der Audit-ZugriffeKontrollierte, nachvollziehbare Prüfzugriffe
Befristete PrüfkontenBeleg zeitlich begrenzter Zugänge für Prüfer und Pentester
Nachweis entfernter ZugängeBestätigung, dass Prüfzugänge nach dem Test deaktiviert wurden
Praxis-Tipps zur Umsetzung
Zugriffe begrenzenPrüfern nur lesenden, nötigen Zugriff in abgestimmten Zeitfenstern geben.
Schonend testenBelastende Tests außerhalb von Stoßzeiten und mit Rückfalloption planen.
Alles protokollierenAudit-Aktivitäten an Produktivsystemen vollständig dokumentieren.
Pentest beauftragenBei Pentests schriftliche Beauftragung (Permission to Attack) einholen und Cloud-Anbieter-Regeln beachten.
Häufige Fehler
Ungeplante TestsPrüfungen stören den Betrieb, weil sie nicht abgestimmt sind.
Zu weitreichender ZugriffPrüfer erhalten unnötig umfangreiche Rechte auf Produktivsysteme.
Häufig gestellte Fragen
Worum geht es bei A.8.34 konkret?
Um den Schutz produktiver Systeme, wenn Audit- oder Prüfaktivitäten direkt auf sie zugreifen.
Wer muss Audit-Tests genehmigen?
Sie werden zwischen Prüfer und Management vorab geplant und vereinbart.
Gilt das auch für interne Audits?
Ja, auch interne Prüfungen mit Zugriff auf Produktivsysteme sollten abgestimmt und kontrolliert erfolgen.
So hilft CompliantDesk bei A.8.34
Planen Sie Audit-Aktivitäten im Audit-Simulations- und Kalender-Modul und dokumentieren Sie abgestimmte, kontrollierte Prüfzugriffe.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten