IT-Audit
IT General Controls im Microsoft-Cloud-Umfeld
IT General Controls, kurz ITGC, sind die grundlegenden Kontrollen, auf die sich alle anwendungsbezogenen Kontrollen stützen. Sind sie schwach, verlieren auch automatisierte Kontrollen in Fachanwendungen ihre Aussagekraft. Für Abschlussprüfung, interne Revision und Aufsicht sind ITGC deshalb ein Kernthema. Wir prüfen ITGC unabhängig und mit besonderem Blick auf Cloud-Umgebungen, in denen klassische Kontrollen oft anders funktionieren.
Die vier ITGC-Bereiche
| Bereich | Kontrollziel | Typische Kontrollen |
|---|---|---|
| Zugriffsverwaltung | Nur berechtigte Personen haben angemessenen Zugriff | Berechtigungsantrag und Freigabe, Rezertifizierung, Austrittsprozess, privilegierte Konten |
| Change-Management | Änderungen an Systemen sind autorisiert, getestet und dokumentiert | Change-Antrag, Test, Freigabe, Trennung von Entwicklung und Produktion |
| IT-Betrieb | Systeme laufen stabil, Fehler werden erkannt und behoben | Jobsteuerung, Backup und Wiederherstellung, Incident- und Problem-Management |
| Entwicklung und Beschaffung | Neue Systeme erfüllen Anforderungen und Kontrollen | Anforderungsmanagement, Abnahme, Datenmigration, Projektsteuerung |
Was sich in der Cloud verändert
In Microsoft 365, Azure und anderen Cloud-Diensten liegt ein Teil der Kontrollen beim Anbieter, ein Teil bleibt beim Kunden. Die Prüfung muss diese Aufteilung sauber abbilden:
- Zugriff: Identitäten werden in Entra ID verwaltet. Conditional Access, zeitlich begrenzte Rollen und Zugriffsüberprüfungen ersetzen klassische Berechtigungsprozesse nur, wenn sie richtig konfiguriert sind.
- Change: Änderungen am Tenant erfolgen oft direkt in Admin-Portalen. Ohne definiertes Change-Verfahren und Protokollauswertung ist kaum nachvollziehbar, wer was geändert hat.
- Betrieb: Backup und Wiederherstellung von Microsoft-365-Daten sind nicht automatisch durch Microsoft abgedeckt. Aufbewahrung ist nicht dasselbe wie Backup.
- Anbieterkontrollen: Für die Kontrollen beim Anbieter stützt sich die Prüfung auf Berichte wie SOC 2 oder ISAE 3402, inklusive der darin genannten komplementären Kontrollen beim Kunden.
Welche Evidenz wir verwenden
- Auswertungen von Berechtigungen und Rollen direkt aus den Systemen
- Stichproben aus Eintritts-, Austritts- und Mutationsprozessen
- Change-Protokolle und Audit-Logs mit Abgleich gegen Freigaben
- Nachweise zu Backup-Tests und Wiederherstellungen
- Anbieterberichte und deren Abgleich mit den eigenen komplementären Kontrollen
Typische Feststellungen
- Austritte werden in Fachanwendungen zu spät oder gar nicht nachvollzogen.
- Privilegierte Konten sind dauerhaft aktiv und nicht personalisiert.
- Änderungen an Cloud-Konfigurationen erfolgen ohne Change-Antrag.
- Rezertifizierungen werden durchgeführt, aber ohne echte Prüfung bestätigt.
- Komplementäre Kontrollen aus Anbieterberichten sind nicht bekannt oder nicht umgesetzt.
Unser Vorgehen
- Scoping: relevante Systeme und Prozesse, etwa für die Finanzberichterstattung oder kritische Funktionen, festlegen.
- Design-Beurteilung: Kontrollen anhand von Dokumentation und Interviews beurteilen.
- Wirksamkeitsprüfung: Stichproben und Systemauswertungen über den Prüfzeitraum.
- Bericht: Feststellungen mit Risikobewertung und umsetzbaren Empfehlungen.
Häufige Fragen
Häufige Fragen
Weiterlesen