Audit-Management

Das Audit-Management bietet Ihnen einen zentralen Ort zur Vorbereitung auf Sicherheits- und Compliance-Audits: Sammeln Sie die Nachweise, die belegen, dass eine Kontrolle erfüllt ist, verfolgen Sie die Feststellungen, die sich aus einer Bewertung ergeben, und führen Sie jede Feststellung bis zum Abschluss. Nachweise und Feststellungen werden rund um dieselben Framework-Kontrollen organisiert, die Sie auch an anderer Stelle in Compliance verfolgen, sodass die tägliche Arbeit direkt in die Auditbereitschaft einfließt.

Beta-Funktion

Compliance — einschließlich des Audit-Managements — ist in Cert-IX eine Beta-Funktion und wird noch erweitert. Die Nachweisorganisation, der Feststellungslebenszyklus und der Behebungs-Workflow, die im Folgenden beschrieben werden, bilden den Kern dessen, was heute ausgeliefert wird. Mit im Rollout gekennzeichnete Abschnitte beschreiben Automatisierungen, die geplant sind oder eingeführt werden; behandeln Sie sie als Roadmap und nicht als garantiertes Verhalten.

Wie das Audit-Management zusammenpasst

Ein Audit ist im einfachsten Fall eine Überprüfung, dass Ihre Kontrollen vorhanden sind und dass Sie dies nachweisen können. Cert-IX unterstützt dies in drei verknüpften Phasen:

Phase	Was Sie tun	Was die Plattform verfolgt
Nachweise	Sammeln und Anhängen der Artefakte, die zeigen, dass jede Kontrolle erfüllt ist	Nachweiselemente, die mit den von ihnen unterstützten Kontrollen verknüpft sind
Feststellungen	Erfassen von Lücken, Beobachtungen und Nichtkonformitäten, die während (oder vor) eines Audits aufgeworfen werden	Feststellungen mit Schweregrad, Verantwortlichem und Status
Behebung	Beheben der zugrunde liegenden Ursache und Nachweisen der Behebung	Behebungsfortschritt, bis jede Feststellung abgeschlossen ist

Da Nachweise und Feststellungen an Kontrollen aus den Frameworks angehängt werden, die Sie bereits verfolgen — NIST CSF, ISO 27001, SOC 2, CIS Controls, NIS2 und alle von Ihnen definierten benutzerdefinierten Frameworks — kann derselbe Datensatz mehr als einem Audit dienen, wenn diese Frameworks überlappende Anforderungen teilen.

Vorbereitung auf ein Audit

Bei der Vorbereitung geht es hauptsächlich darum, die Lücke zwischen dem von Ihnen behaupteten Kontrollstatus und den Nachweisen, die Sie erbringen können, zu schließen. Eine praktische Reihenfolge:

1. Umfang bestätigen. Entscheiden Sie, welche(s) Framework(s) und welche Kontrollen das Audit abdecken wird.
2. Kontrollstatus überprüfen. Identifizieren Sie Kontrollen, die als erfüllt markiert sind, aber dünne oder fehlende Nachweise haben.
3. Nachweise sammeln für diese Kontrollen (siehe unten).
4. Selbst bewerten und Lücken notieren. Wenn eine Kontrolle noch nicht erfüllt ist, erfassen Sie sie als Feststellung, damit sie verfolgt und nicht vergessen wird.
5. Die wichtigsten Lücken beheben, bevor das Audit beginnt.

tipp

Behandeln Sie Lücken, die Sie während der Selbstbewertung finden, als vollwertige Feststellungen. Wenn Sie sie von vornherein protokollieren, durchlaufen sie denselben Behebungs-Workflow wie vom Auditor aufgeworfene Feststellungen, mit einem Verantwortlichen und einem klaren Status — anstatt in einer Tabellenkalkulation zu verweilen.

Verwaltung von Nachweisen

Ein Nachweis ist jedes Artefakt, das belegt, dass eine Kontrolle wirksam ist: eine schriftliche Richtlinie, ein Konfigurationsexport, ein Screenshot einer Einstellung, ein Ticket, das zeigt, dass ein Prozess befolgt wurde, oder die Ausgabe eines Sicherheitsscans. In Cert-IX werden Nachweiselemente an die von ihnen unterstützten Kontrollen angehängt, sodass ein Auditor (oder ein zukünftiges Ich) direkt von einer Kontrolle zu dem dahinterstehenden Beleg gelangen kann.

Arten von Nachweisen

• Dokumente — Richtlinien, Verfahren und Standards, die Sie in der Richtlinienverwaltung pflegen.
• Konfiguration und Screenshots — exportierte Einstellungen oder erfasste Bildschirme, die zeigen, dass eine Kontrolle korrekt konfiguriert ist.
• Scan-Ausgabe — Feststellungen und Ergebnisse, die durch die eigene Schwachstellenüberprüfung von Cert-IX erzeugt werden. Da die Plattform bereits Abhängigkeits- und Schwachstellenscans durchführt (siehe Schwachstellenmanagement), können Scan-Ergebnisse als Nachweis dafür dienen, dass technische Kontrollen überwacht werden.
• Aufzeichnungen und Tickets — Artefakte, die zeigen, dass ein wiederkehrender Prozess (Zugriffsüberprüfungen, Patching, Vorfallbehandlung) tatsächlich stattgefunden hat.

Jedes Nachweiselement erfasst, wer es hinzugefügt hat und wann, sodass Sie eine grundlegende Historie darüber behalten, was für eine bestimmte Kontrolle eingereicht wurde.

hinweis

Die automatisierte Nachweiserfassung — das Abrufen von Nachweisen für bestimmte technische Kontrollen direkt aus Plattformdaten nach einem Zeitplan — ist im Rollout. Planen Sie heute, die meisten Nachweise manuell anzuhängen oder aus der entsprechenden Cert-IX-Oberfläche zu exportieren.

Verfolgung von Feststellungen

Eine Feststellung ist alles, was ein Audit zutage fördert und Aufmerksamkeit erfordert: eine fehlende Kontrolle, eine teilweise erfüllte Anforderung oder eine Beobachtung zur Verbesserung. Feststellungen sind die Arbeitseinheit, die Sie nach (und während) einer Bewertung verwalten.

Was eine Feststellung erfasst

Feld	Zweck
Beschreibung	Worum es sich bei dem Problem handelt und warum es wichtig ist
Schweregrad	Wie schwerwiegend die Lücke ist (Critical / High / Medium / Low)
Betroffene Kontrolle(n)	Die Framework-Anforderung(en), auf die sich die Feststellung bezieht
Verantwortlicher	Die Person, die für die Behebung verantwortlich ist
Behebungsnotizen	Der Plan und die Nachweise, die zum Beleg der Behebung erforderlich sind

Lebenszyklus einer Feststellung

Feststellungen durchlaufen eine definierte Reihe von Zuständen, sodass ihr Status zu jedem Zeitpunkt eindeutig ist:

• Open — die Feststellung wurde erfasst, aber die Arbeit hat noch nicht begonnen.
• In Progress — die Behebung ist im Gange.
• Pending Verification — eine Behebung wurde umgesetzt und wartet auf Bestätigung.
• Closed — die Behebung wurde verifiziert und die Feststellung ist gelöst.
• Risk Accepted — die Organisation hat sich bewusst dafür entschieden, das Risiko zu akzeptieren, wobei diese Entscheidung dokumentiert und nicht behoben wird.

Der typische Weg ist Open → In Progress → Pending Verification → Closed, wobei Risk Accepted verfügbar ist, wenn die Behebung nicht die gewählte Reaktion ist. Die Trennung von Pending Verification und Closed verhindert, dass eine Behebung als erledigt markiert wird, bevor jemand bestätigt hat, dass sie tatsächlich funktioniert hat.

Behebungs-Workflow

1. Protokollieren Sie die Feststellung mit einer Beschreibung, einem Schweregrad und den betroffenen Kontrolle(n).
2. Weisen Sie einen Verantwortlichen zu, der für die Lösung verantwortlich ist.
3. Planen Sie die Behebung und notieren Sie, welche Nachweise die Behebung belegen werden.
4. Setzen Sie die Änderung um.
5. Sammeln Sie Nachweise und hängen Sie sie an die Feststellung und die zugehörige Kontrolle an.
6. Verifizieren Sie, dass die Änderung die beabsichtigte Wirkung hatte.
7. Schließen Sie die Feststellung — oder erfassen Sie eine dokumentierte Risk Accepted-Entscheidung.

Wenn eine Feststellung aus einer technischen Schwachstelle resultiert, wird dasselbe Problem oft bereits im Schwachstellenmanagement verfolgt; die Verknüpfung beider hält die Audit-Sicht und die operative Sicht konsistent.

Während und nach dem Audit

• Während des Audits beantworten Sie Auditor-Anfragen, indem Sie auf die an jede Kontrolle angehängten Nachweise verweisen (oder diese exportieren), und protokollieren alle vom Auditor aufgeworfenen Probleme als Feststellungen, damit sie sofort in den Behebungs-Workflow gelangen.
• Nach dem Audit überprüfen Sie jede Feststellung, bestätigen ihre Richtigkeit, weisen Verantwortliche zu und priorisieren die Behebung nach Schweregrad. Die Feststellungen folgen dann dem oben beschriebenen Lebenszyklus, bis jedes Element den Zustand Closed oder einen dokumentierten Risk Accepted-Zustand erreicht.

Zwischen den Bewertungen auditbereit bleiben

Auditbereitschaft ist leichter zu erhalten als wiederherzustellen. Anstatt jedes Audit als einmalige Hektik zu behandeln, halten Sie die Nachweise an den Kontrollen angehängt, während sich Ihre Umgebung verändert, und lösen Sie Feststellungen, sobald sie auftreten, sodass die Lücke zwischen „auf dem Papier konform" und „heute nachweisbar" klein bleibt.

Im Rollout

Tiefere Automatisierung — kontinuierliche Kontrollüberwachung, geplante Nachweisaktualisierung und Erkennung von Konfigurationsabweichungen — ist für Compliance geplant, während es aus der Beta-Phase heranreift. Bis dahin ist die fortlaufende Bereitschaft in erster Linie eine Frage, die Nachweise aktuell zu halten und Feststellungen bis zum Abschluss zu bearbeiten.

Exportieren von Audit-Informationen

Sie können die einem Audit zugeordneten Nachweise und Feststellungen exportieren, um sie mit Auditoren zu teilen oder für Ihre Unterlagen aufzubewahren — zum Beispiel die Liste der Feststellungen und ihren aktuellen Status oder die an eine Reihe von Kontrollen angehängten Nachweise. Dies gibt Ihnen eine portable Momentaufnahme des Stands eines Frameworks, ohne direkten Plattformzugriff gewähren zu müssen.

---

Nächste Schritte

• Compliance-Überblick — wie Frameworks, Richtlinien und Audit-Unterstützung zusammenpassen.
• Frameworks — die Frameworks, die Sie verfolgen und gegen die Sie Kontrollen abbilden können.
• Compliance-Matrix — sehen Sie die Kontrollabdeckung über Frameworks hinweg in einer Ansicht.
• Schwachstellenmanagement — wo technische Feststellungen entstehen, die oft zu Audit-Nachweisen werden.