IT-Audits

Ziele eines IT-Audits

Während der Planungsphase eines IT-Audits muss der IT-Auditor die Ziele des Audits festlegen und gleichzeitig sicherstellen, dass diese Ziele mit den allgemeinen Unternehmenszielen übereinstimmen. Meist können die Ziele einer der folgenden Kategorien zugeordnet werden:

• Evaluierung von Systemen und Prozessen, die Unternehmensdaten sichern sollten.
• Feststellung möglicher Risiken, die IT-Assets kompromittieren könnten sowie Erarbeitung von Möglichkeiten, diese Risiken zu mindern.
• Überprüfung der Zuverlässigkeit und Integrität von Informationen.
• Compliance-Prüfung des Informationsmanagements hinsichtlich Datenschutzgesetzen, -Richtlinien und -Standards.
• Identifizierung von Schwachstellen innerhalb von IT-Systemen oder des IT-Managements

Arten von IT-Audits

Es gibt verschieden Arten von IT-Audits, die von unterschiedlichen Behörden oder Stellen innerhalb oder außerhalb eines Unternehmens veranlasst werden können. Im Folgenden werden die gängigsten Arten aufgeführt:

Technologischer Innovationsprozess

In diesem Audit wird die Erfahrung von Unternehmen im Umgang mit bestimmten Technologien bewerten, um daraufhin ein individuelles Risikoprofil zu erstellen. Dies kann für neue oder bereits bestehende Technologieprojekte gelten. Außerdem wird bei diesem Audit auch die Unternehmenspräsenz in unterschiedlichen, relevanten Märkten berücksichtigt.

Innovationsvergleich

Mit diesem Audit wird die Innovationsfähigkeit von Unternehmen im Vergleich zu ihrem stärksten Wettbewerber bewertet, Auditoren werfen einen genauen Blick auf die Erfolgsbilanz der Unternehmen bei der Entwicklung und Herstellung neuer Produkte sowie auf ihre Entwicklung und Forschungseinrichtungen.

Technologische Unternehmensposition

In diesem Audit werden die eingesetzten Technologien von Unternehmen untersucht und analysiert, welchen Beitrag diese zum allgemeinen Geschäftserfolg leisten. Mithilfe dieser Prüfung lässt sich feststellen, ob neue Technologien eingeführt werden sollten.

Systeme und Applikationen

Mit diesem Audit soll festgestellt werden, ob alle Systeme und Applikationen effizient funktionieren und ob sie zuverlässig sind sowie angemessen kontrolliert werden. Eine Unterart dieses Audits sind System- und Prozesssicherheitsprüfungen, die besonders Finanzauditoren zugutekommen. Eher Cloud-lastige Infrastrukturen profitieren von SaaS-Management, da mithilfe dieser Disziplin alle verwendeten Applikationen leicht für Software-Audits ermittelt werden können.

Informationsverarbeitungseinrichtungen

Neben dem Audit von Systemen und Applikationen gibt es auch ein Audit für Informationsverarbeitungseinrichtungen. Dazu gehört die gesamte physische IT-Ausstattung, die Betriebssysteme und die IT-Infrastruktur insgesamt. Die Auditoren stellen sicher, dass die Verarbeitungseinrichtungen auch bei Störungen pünktlich und genau arbeiten.

Systementwicklung

IT-Infrastrukturen verändern sich konstant, da bessere Systeme entwickelt und deployed werden. In einer schnelllebigen Cloud-Umgebung müssen Unternehmen sicherstellen, dass die sich in Entwicklung befindenden Systeme mit ihren Unternehmenszielen und -standards übereinstimmen, bevor die Systeme schließlich deployed werden.

Verwaltung von IT und Enterprise Architecture

Mithilfe dieses Audits soll festgestellt werden, ob das IT-Management und auch die Mitarbeiter der IT-Abteilung eine Organisationsstruktur und solide Verfahren zur Sicherung und Kontrolle der Informationsverarbeitung entwickelt haben. Dies beinhaltet auch die Überprüfung der gesamten Enterprise Architecture sowie der Tools, die zur Einhaltung von Best Practices und Umsetzung von Frameworks eingesetzt werden.

Klient & Server, Telekommunikation, Intranet & Extranet

Bei diesem Audit dreht sich alles um die Klienten und Server. Auditoren überprüfen, ob alle Telekommunikationskontrollen für den Computer, der den Service empfängt, angemessen funktionieren. Dies gilt nicht nur für den Server, sondern auch für das Netzwerk, das den Klienten mit den Servern verbindet.

Auditprozess: Informationstechnologie

Jeder IT-Auditprozess ist einzigartig und unterscheidet sich von Unternehmen zu Unternehmen. Dennoch gibt es vier Phasen, auf denen jedes erfolgreiche IT-Audit beruht:

• Planung: Diese Phase ist die wichtigste, da hier der Grundstein für das gesamte Audit gelegt wird. Ein fehlendes Verständnis der internen IT-Prozesse und eine unzureichende Einschätzung des Arbeits- und Zeitaufwands können zu falschen Schlussfolgerungen und höheren Kosten führen. Genau aus diesem Grund wird den Audit-Teams empfohlen, in der Planungsphase so viel IT-Expertise wie nötig heranzuziehen. Am Ende dieser Phase sollte ein detaillierter IT-Auditplan stehen, der den Umfang, das Ziel, den Zeitrahmen, den Ablauf und das Budget der Prüfung zusammenfasst.
• Feldarbeit: Diese Phase kann unterschiedliche Formen annehmen, findet jedoch in den meisten Fällen in den Unternehmen selbst, also vor Ort statt. Das Audit-Team ermittelt und analysiert die größten Risiken innerhalb der Prozesse und Systeme, die dem Audit unterzogen werden. Kontrollen werden geprüft und bewertet, um sicherzustellen, dass sie Risiken wie vorgesehen mindern. Außerdem macht das Audit-Team mögliche Schwachstellen innerhalb der Kontrollen aus und erarbeitet Verbesserungsvorschläge, die entweder in einem speziellen Ausbesserungsplan zusammengefasst oder im Auditreport selbst aufgezählt werden.
• Reporting: Während und nach der Durchführung des IT-Audits müssen die Audit-Teams ihre Erkenntnisse dokumentieren, besonders wenn gewisse Kontrollen nicht richtig greifen. Nach der Erstellung eines vorläufigen Reports, der mit dem Management besprochen wird, stellt der IT-Auditor einen detaillierten Auditreport auf, in dem die Ergebnisse des Audits präzise und objektiv zusammengefasst werden.
• Nachbereitung: Auch wenn diese letzte Phase häufig übersehen wird, ist sie ebenso wichtig wie die vorangegangenen Phasen. Interne oder externe Auditoren stellen sicher, dass die von ihnen ausgesprochenen Empfehlungen oder Aktionspläne angemessen umgesetzt werden. Meist wird das IT-Audit offiziell für beendet erklärt, wenn in der Nachbereitung ersichtlich wird, dass die Vorschläge und Maßnahmen erfolgreich umgesetzt worden sind.

Fazit

Mit der zunehmenden Nutzung von SaaS-Applikationen und Cloud-basierten Systemen gehen Unternehmen bedeutend mehr Sicherheitsrisiken ein und verlieren zunehmend die Kontrolle über ihre wachsende Schatten-IT. Wenn IT-Audits korrekt ausgeführt werden, können Unternehmen viel über ihre Systeme, Prozesse und IT-Landschaft im Allgemeinen erfahren und gleichzeitig Transparenz schaffen. Dadurch erhalten die unterschiedlichen Unternehmensabteilungen die Informationen und Daten, mit denen sie richtige Kontrollen etablieren und Risiken bestmöglich reduzieren können. So werden sensible Daten vor Hackern und anderen Sicherheitsbedrohungen geschützt.