Durchführung von BSI- und ISO-Audits zur Sicherheitsorganisation

Der generelle Unterschied zwischen einem regulären Audit nach ISO 27001 (auch auf Basis von IT-Grundschutz) und einer Gap-Analyse besteht darin, dass ein reguläres Audit zwar die Durchführung eines Zertifizierungsaudits simuliert und die Mitarbeiter auf die tatsächliche Auditierung vorbereitet, durch die Festlegung auf Stichproben jedoch keine Abweichungen feststellen kann, die außerhalb der Stichproben liegen. Eine Gap-Analyse hat (im Gegensatz zum Audit) eher einen beratenden Charakter und widmet sich dem zu untersuchenden Unternehmensbereich vollständig.

Prinzipiell ist die regelmäßige Durchführung von Audits Kernbestandteil eines jeden ISMS und notwendige Grundlage des kontinuierlichen Verbesserungsprozesses. Der überaus schnelle Technologiewandel, verbunden mit immer neuen Erkenntnissen über ausnutzbare Schwachstellen, macht es unabdingbar die vorhandene IT-Umgebung einer fachgerechten Überprüfung zu unterziehen.

Da unsere IT-Experten sowohl bei der IRCA registriert als auch beim BSI als Auditoren lizenziert sind, können wir gemäß ISO 27001 mit und ohne IT-Grundschutzbezug auditieren und auch die Vorbereitungen für eine spätere Zertifizierung unterstützen. Für ein ISO 27001 ISMS auf Basis von IT-Grundschutz können wir das Zertifizierungsaudit sogar selbst durchführen, sofern im Vorfeld keine Beratungsleistung im Bereich des relevanten IT-Verbundes erbracht wurde.