Informationssicher­heitsmassnahmen auditieren

Viele Organisationen können ihre Annex-A-Massnahmen beschreiben, tun sich aber schwer damit aufzuzeigen, weshalb jede Massnahme gilt, wie sie umgesetzt ist und ob sie über Standorte, Teams und Lieferanten hinweg konsistent wirkt. Das führt zu einem Auditmuster von «Politika­nachweisen» ohne operativen Beleg und zu wieder­holten Feststel­lungen, die Symptome tiefer liegender System­schwächen sind.

Dieses normspezifische Auditmodul fokussiert auf die Anwend­barkeit und Begründung von Annex-A-Massnahmen über die Erklärung zur Anwend­barkeit, auf Nachweiserwar­tungen je Massnah­menthema und auf typische systemische ISMS-Fehler. Es setzt voraus, dass die Grundlagen der Informationssicher­heit anderweitig bereits behandelt wurden, und wiederholt keine generische Auditpraxis; es wendet Auditbeurtei­lung auf den Massnah­menkatalog von ISO/IEC 27001 an - für interne Audits und Audits durch Dritte, etwa Zertifizie­rungsstellen oder unabhängige Nachweisanbieter.