IS-Revision

Bild: BSI-Vorgehensweise nach IT-Grundschutz

Die IS-Revision (Informationssicherheitsrevision) zielt darauf ab, die Informationssicherheit zu verbessern, Fehlentwicklungen auf diesem Gebiet zu vermeiden und die Wirtschaftlichkeit der Sicherheitsmaßnahmen und der IT-Sicherheitsprozesse zu optimieren. Im Ergebnis wird ein Revisionsbericht erstellt, der dem Management sowie dem IT-Sicherheitsverantwortlichen der Institution in kompakter Form den Sicherheitsstatus und ggf. den Handlungsbedarf aufgrund bestehender Sicherheitsmängel aufzeigt.

Das BSI progagiert zur Gewährleistung der IT-Sicherheit seine Vorgehensweise nach IT-Grundschutz mit den bisherigen Säulen BSI-Standards und Grundschutzkataloge. Zur Erweiterung dieser Systematik in Richtung IS-Revision hat das BSI einen entsprechenden Leitfaden erstellt. Hier wird in 3 Arten der Revision unterschieden:

Anzeige

1. IS-Kurzrevision – zum Einstieg
2. Querschnittsrevision - Stichprobenauswahl 30..35% der Maßnahmen in den Grundschutz-Bausteinen
3. Partialrevision – spezieller Ausschnitt einer Organisation

Die Durchführung der IS-Revision sollte mittels Interviews, Begehungen, Aktenanalyse, technische Prüfungen, Logauswertungen und Checklisten erfolgen. Eine besondere Rolle nimmt hierbei der in der Vorgehensweise nach IT-Grundschutz verankerte Basissicherheitscheck ein, dessen erfolgreiches Bestehen auch die Voraussetzung zum Erwerb des ISO 27001-Zertifikats auf der Basis von IT-Grundschutz ist. Der Basissicherheitcheck dokumentiert, ob eine in den Grundschutzkatalogen empfohlene Sicherheitsmaßnahme umgesetzt ist (ja/ nein/ teilweise/entbehrlich). Die IS-Revision bewertet daraufhin dann die nicht oder nur teilweise umgesetzte Sicherheitsmaßnahmen in der Stufung:

1. kein Mangel
2. Sicherheitsempfehlung
3. Sicherheitsmangel
4. schwerwiegender Sicherheitsmangel

Insgesamt stellt die IS-Revision nach BSI einen weiteren wesentlichen Baustein zur Vervollkommnung der Vorgehensweise nach IT-Grundschutz dar.

Weblinks

BSI-Leitfaden IS-Revision Zertifizierung als IS-Revisor

Siehe übergeordnete Stichworte

• IT-Sicherheitsstrategien
• IT-Sicherheitszertifizierung

Siehe auch

• IT-Grundschutz
• ISO 27001-Zertifikat auf der Basis von IT-Grundschutz