Ich habe eine Anfrage für ein Interview zum ISO 27001-Audit erhalten - was sollte ich erwarten?

Im Januar 2025 unterzog sich Cyberday einem Überwachungsaudit nach ISO 27001:2022. Unser Unternehmen ist bereits seit 2021 nach ISO 27001 zertifiziert. Die ISO 27001-Zertifizierung ist drei Jahre lang gültig, und jedes Jahr muss ein Überwachungsaudit durchgeführt werden. Da wir im Jahr 2024 rezertifiziert wurden, war dies unser erstes Überwachungsaudit in diesem dreijährigen Zertifizierungszeitraum.  

Zusätzlich zu den Rezertifizierungs- und Überwachungsaudits sollten die Organisationen mindestens einmal im Jahr ein internes Audit durchführen.

Um die Prüfung durchzuführen, forderte der Prüfer uns auf, zwei getrennte Mitarbeitergespräche zu führen: ein Gespräch mit neuen Mitarbeitern und ein rollenbasiertes Gespräch. Ich wurde zu dem Gespräch mit neuen Mitarbeitern eingeladen und möchte Sie nun dorthin mitnehmen. 🚀

In diesem Blog werden wir über die Bedeutung der Teilnahme von Mitarbeitern am Audit-Interview-Prozess sprechen, warum Auditoren Einblicke von Mitarbeitern schätzen, und uns mit möglichen Fragen beschäftigen, die in einem ISO 27001-Interview gestellt werden.

Wenn Sie mehr über den gesamten Prozess erfahren möchten, lesen Sie unseren Blog über den Zertifizierungsprozess nach ISO 27001.

Die Bedeutung der Beteiligung der Mitarbeiter an Sicherheitsaudits

Audits, insbesondere die ISO 27001, beruhen sehr stark auf der aktiven Beteiligung der Mitarbeiter. Sie sind die Grundlage des Informationssicherheitsmanagementsystems (ISMS) einer Organisation, und ihre Beteiligung an den Audits fördert die Transparenz und vertieft das Verständnis für die Sicherheitsrichtlinien und -verfahren des Unternehmens.

In diesem Artikel konzentrieren wir uns auf die Beteiligung der Arbeitnehmer an Prüfungsgesprächen, aber es gibt noch viele andere Möglichkeiten, wie eine Organisation ihre Mitarbeiter einbeziehen kann, z. B:

• Aktive Einbindung der Mitarbeiter in den Vorbereitungsprozess zum Aufbau und zur Entwicklung einer proaktiven Kultur der Informationssicherheit.  
• Möglichkeit von Schulungen und Workshops zu den Rahmenbedingungen: Auf diese Weise können die Mitarbeiter ihre Rolle bei der Einhaltung der Vorschriften besser verstehen und werden eher Fragen stellen, um Unklarheiten zu beseitigen.
• Vor der Prüfung sollten die Mitarbeiter sicherstellen, dass alle Unterlagen über ihre eigene Arbeit auf dem neuesten Stand sind und die von ihnen angewandten Sicherheitspraktiken korrekt wiedergeben.
• Bitten Sie die Mitarbeiter um Rückmeldungen zum ISMS und zum Auditverfahren. Die Erkenntnisse der Mitarbeiter können wertvoll sein, um mögliche Verbesserungen zu ermitteln.

Bei Audits geht es nicht nur um die Erfüllung von Anforderungen, sondern um kontinuierliche Verbesserung. Die Einbindung der Mitarbeiter in diese Prozesse hilft, potenzielle Sicherheitslücken zu erkennen, die sonst unbemerkt bleiben würden. Wenn die Mitarbeiter die Möglichkeit haben, auf der Grundlage ihrer praktischen Erfahrungen Feedback zu praktischen Verbesserungen und Anpassungen zu geben, trägt dies zu einem wirksameren ISMS bei und fördert eine proaktive Kultur der Informationssicherheit.

Warum führen Prüfer Mitarbeiterbefragungen durch?

Neue Mitarbeiter können durch Gespräche oder die Vorlage von Unterlagen in den Prüfungsprozess einbezogen werden.

Mitarbeiterbefragungen sind ein wichtiger Bestandteil eines ISO 27001-Audits, da sie den Auditoren aus erster Hand Einblicke in die Umsetzung der Informationssicherheitsrichtlinien und die Überprüfung der Verfahren in der Praxis geben. Die Auditoren beurteilen, ob die Mitarbeiter ihre Aufgaben und Verantwortlichkeiten bei der Aufrechterhaltung der Informationssicherheit der Organisation verstehen.

Durch Befragungen können die Prüfer die Wirksamkeit der Schulungsprogramme und Sensibilisierungsinitiativen bewerten, die das Unternehmen eingeführt hat. Auf diese Weise lassen sich etwaige Wissenslücken oder Bereiche, in denen weitere Schulungen erforderlich sein könnten, ermitteln, um sicherzustellen, dass alle Mitarbeiter angemessen auf die Herausforderungen der Informationssicherheit vorbereitet sind. Mitarbeiterbefragungen bieten auch eine einzigartige Gelegenheit, Diskrepanzen zwischen dokumentierten Verfahren und tatsächlichen Praktiken aufzudecken. Die Mitarbeiter können praktisches Feedback über die Anwendbarkeit und Relevanz von Sicherheitskontrollen geben, was zu Verbesserungen des Informationssicherheitsmanagementsystems des Unternehmens führen kann.

Mögliche Interviewfragen zum ISO 27001-Audit

Als Nächstes wollen wir uns ansehen, was Teil der Fragen in einem Interview zur Prüfung der Informationssicherheit sein könnte. Diese Fragen können nach Rolle und Thema kategorisiert werden. Während des Gesprächs wird der Prüfer herausfinden, ob die Mitarbeiter sich der Informationssicherheitsrichtlinien des Unternehmens wirklich bewusst sind, welche Rollen und Verantwortlichkeiten sie in Bezug auf Sicherheitsmaßnahmen haben und ob die täglichen Arbeitsaufgaben mit dem Rahmenwerk übereinstimmen, in diesem Fall mit den ISO 27001-Kontrollen.

Allgemeine Fragen können bei allen Prüfungsgesprächen von Bedeutung sein:  

Dies sind nur Beispiele für die Themen des ISO 27001-Audits. Es ist wichtig, dass der Mitarbeiter die besten Sicherheitspraktiken im Arbeitsalltag kennt und befolgt.

Rollenbasiertes Audit-Interview

Insbesondere bei einem rollenbasierten Interview können die Fragen entsprechend Ihrer beruflichen Rolle ausgewählt werden. Auf diese Weise kann das Gespräch Aufschluss darüber geben, wie Sie die Informationssicherheit aus der Perspektive Ihrer spezifischen Rolle handhaben. Hier sind einige rollenbasierte Fragethemen:

IT-Team: ‍

• Die Fragen können sich auf technische Kontrollen und Sicherheitsmaßnahmen konzentrieren. Zum Beispiel: Welche Sicherheitsmaßnahmen gibt es, um unbefugten Zugang zu IT-Systemen zu verhindern? Wie oft werden Sicherheits-Patches und Updates eingespielt?

HR (Human Resources):

• Die Personalabteilung kann Fragen zur Bewertung der Sicherheit bei der Einstellung, Schulung und Entlassung von Mitarbeitern erhalten . Zum Beispiel: Welche Sicherheitsüberprüfungen werden bei Neueinstellungen durchgeführt? Wie stellen Sie sicher, dass neue Mitarbeiter eine Sicherheitsschulung erhalten?

Finanz- und Einkaufsteams:

• Die Fragen können sich je nach Rolle auf Transaktionen, finanzielle Sicherheit und Lieferantenmanagement konzentrieren. Zum Beispiel: Wie stellen Sie sicher, dass Finanztransaktionen sicher sind? Wie beurteilen Sie die Sicherheit von Drittanbietern, bevor Sie mit ihnen zusammenarbeiten?

Abteilungsleiter:

• Auf dieser Managementebene werden Fragen zum Datenschutz, zum Risikomanagement und zur Durchsetzung von Richtlinien beantwortet. Zum Beispiel: Wie stellen Sie sicher, dass die Mitarbeiter Ihrer Abteilung die Sicherheitsrichtlinien befolgen, z. B. die Clean-Desk-Richtlinie?

Verkaufsteam:

• DieMitglieder des Vertriebsteams haben mit Kundendaten, Verträgen und sensiblen Geschäftsinformationen zu tun, weshalb sie bei einem ISO 27001-Audit besonders im Fokus stehen. Die Auditoren werden prüfen, wie gut sie Kundendaten schützen, Sicherheitsrichtlinien befolgen und Datenverletzungen verhindern. Zum Beispiel: Wo speichern Sie Kundenverträge und sensible Informationen? Wie stellen Sie sicher, dass Kundendaten im CRM-System nicht missbraucht werden oder nach außen dringen?

Durch rollenbasierte Befragungen kann überprüft werden, ob die Mitarbeiter die Sicherheitsmaßnahmen im Rahmen ihrer Aufgaben konsequent umsetzen. Diese Befragungen sind entscheidend für die Bewertung spezifischer Sicherheitskontrollen und die Identifizierung potenzieller Risiken. Sie helfen den Prüfern auch festzustellen, ob die Schulungs- und Sensibilisierungsprogramme der Organisation das Wissen über Sicherheit im täglichen Betrieb wirksam gefördert haben.

Audit-Gespräch für neue Mitarbeiter

Die Fragen im Gespräch mit neuen Mitarbeitern konzentrieren sich auf Themen wie den Einführungsprozess, Schulungen zum Sicherheitsbewusstsein und die Kommunikation von Richtlinien. Mit diesen Fragen will der Prüfer sicherstellen, dass die Sicherheit vom ersten Tag an berücksichtigt wird und dass die neuen Mitarbeiter ihre Verantwortlichkeiten verstehen. Im Vergleich zu einem rollenbasierten Gespräch konzentriert sich das Gespräch mit neuen Mitarbeitern auf die grundlegenden organisatorischen Prozesse, insbesondere in der Anfangsphase:

• Bewertung, wie gut der Einarbeitungsprozess das Sicherheitsbewusstsein abdeckt: Könnten Sie Ihren Einstellungsprozess/ Ihre ersten Tage im Job beschreiben?
• Allgemeines Bewusstsein für Informationssicherheit: Haben Sie nach Ihrem Eintritt in die Organisation eine Sicherheitsschulung erhalten? Wie schnell und wie wurde die Schulung durchgeführt? Wo können Sie die Informationssicherheitsrichtlinien des Unternehmens finden? Wie halten Sie sich über die Sicherheitsrichtlinien des Unternehmens auf dem Laufenden?
• Zugangskontrolle & Physische und Fernarbeit: Wie beantragen Sie den Zugang zu Unternehmenssystemen oder -software? Dürfen Sie persönliche Geräte für die Arbeit verwenden? Wie sichern Sie Ihren Arbeitsplatz, wenn Sie sich von Ihrem Schreibtisch wegbewegen?
• Mit den Fragen können Sie auch Ihr bisheriges Wissen über die Informationssicherheit testen, um die Wirksamkeit der Sicherheitsschulung bei der Einarbeitung zu überprüfen : Was würden Sie tun, wenn Sie eine verdächtige E-Mail erhalten, in der Sie nach Ihren Anmeldedaten gefragt werden? Was sollten Sie tun, wenn Ihr Firmenlaptop oder -telefon verloren geht oder gestohlen wird?

Gibt es eine Möglichkeit, sich auf die Prüfung vorzubereiten?

Wenn Sie sich auf Ihr bevorstehendes Vorstellungsgespräch vorbereiten wollen, finden Sie hier ein paar Tipps, die Ihnen helfen können.

• Lesen Sie den Leitfaden erneut: Vergewissern Sie sich, dass Sie die von der Organisation bereitgestellten Leitlinien gelesen und verstanden haben. Prüfen Sie auch, wo Sie die entsprechenden Dokumente finden können, z. B. die Informationssicherheitspolitik

• Vorstellungsgespräch simulieren: Nervös vor dem Vorstellungsgespräch? Sammeln Sie gängige Fragen für Vorstellungsgespräche und bitten Sie entweder einen Kollegen um Hilfe oder gehen Sie die Fragen selbst durch.
• Imaginäre Bedrohungen aus dem Internet: Da der Interviewer Sie fragen könnte, wie Sie sich z. B. bei einem möglichen Phishing-Versuch verhalten sollen oder was Sie tun sollen, wenn Sie Ihr Telefon oder Ihren Laptop verlieren, ist es gut, wenn Sie die besten Praktiken und Anweisungen durchgehen.

Wenn die ISO 27001-Maßnahmen in Ihrer Organisation gut etabliert sind, wird auch die Vorbereitung auf ein Audit einfacher sein. Denken Sie in der Gesprächssituation daran: 

• Sie werden nicht getestet. Das Vorstellungsgespräch dient dazu, sicherzustellen, dass Ihr Unternehmen wirklich das tut, was es behauptet zu tun.
• Denken Sie daran, die Fragen der Prüfer ehrlich zu beantworten. Wenn Sie etwas nicht wissen, wissen Sie vielleicht, wer Ihnen dabei helfen kann?
• Sie können Beispiele aus dem wirklichen Leben anführen, und was noch besser ist - Sie können, wenn möglich, angewandte Sicherheitsmaßnahmen aufzeigen.
• Wenn Sie an Sicherheitsschulungen teilgenommen haben oder wissen, dass Ihr Unternehmen Sensibilisierungsprogramme durchführt, können Sie diese hier erwähnen. Diese können die kontinuierlichen Verbesserungsmaßnahmen in der Organisation hervorheben.

Die wichtigsten Erkenntnisse aus meinem ersten Prüfungsgespräch

Vor dem Audit besprachen wir den Zeitplan für die Audittage und wann die einzelnen Interviews stattfinden würden. Wir gingen die Hauptthemen des Audits durch und besprachen die Unterschiede zwischen den beiden Befragungen, wobei wir uns vergewisserten, dass die Teilnehmer sich bei den Befragungen wohlfühlten. Wir brauchten nicht wirklich auf die Einzelheiten einzugehen, da wir im Herzen des Cyberday arbeiten und die Informationssicherheit für uns so etwas wie eine alltägliche Angelegenheit ist.

Da ich speziell aus der Sicht eines neuen Mitarbeiters befragt wurde, begann das Gespräch damit, dass ich meine Rolle beim Cyberday erzählte und wie lange ich schon hier arbeite. Dann begannen wir mit den Anfängen. Und wenn ich von Anfang spreche, meine ich den Einstellungsprozess. Von dort aus ging es weiter zum Onboarding und zu den Verfahren der Sicherheitsschulung, zu den Verantwortlichkeiten, zur physischen Sicherheit und zu detaillierteren Fällen, z. B. was zu tun ist, wenn ich Phishing-E-Mails bekomme. Es ging auch darum, welche Bereiche ich persönlich in meinem Arbeitsumfeld für verbesserungswürdig halte. Insgesamt war das Gespräch eher gesprächig und das letzte bisschen Nervosität verflog ziemlich schnell, als ich merkte, dass ich die Fragen problemlos beantworten konnte.

Wenn Sie während eines Audits befragt werden sollen, sind Sie vielleicht nervös, vor allem, wenn die Befragungssituation etwas ungewohnt ist. Aber wenn in Ihrer Organisation Maßnahmen nach ISO 27001 getroffen wurden, brauchen Sie sich keine Sorgen zu machen. Das Wichtigste ist, dass Sie dem Prüfer gegenüber ehrlich sind. Wenn Sie etwas nicht wissen oder sich nicht erinnern können, ist es gut zu wissen, wo Sie die Informationen finden können.