Audit Zutrittsschutz
Aus Sicherheitsperspektive bilden Firmengebäude und Büroräume quasi die physische Schutzschicht. Die teilweise sehr aufwändigen Sicherheitsmaßnahmen gegen unbefugtes Eindringen können mittels spezieller Angriffe geprüft werden, wobei menschliche Faktoren eine tragende Rolle spielen. Ein entsprechendes Audit umfasst folgende Bestandteile:
- Schwachstellenanalyse durch Observation des Gebäudes (Zutrittsmöglichkeiten, Sicherheitsvorkehrungen, Personenfrequentierung, relevante Abläufe / Prozesse / Mängel)
- Optional / projektspezifisch: Schaffung einer qualifizierten Legende (z.B. durch gefälschte Firmenausweise, Verkleidung, Terminvereinbarung unter falscher Identität)
- Unbefugtes Eindringen in Gebäude, z.B. durch Vortäuschung falscher Identitäten, falscher Tatsachen oder Tailgating (anhängen an autorisierte Mitarbeiter) - Die Zielsetzung innerhalb des Gebäudes ist projektspezifisch zu definieren, z.B. Erreichung eines bestimmten Raumes, Entwendung bestimmter Unterlagen, Zugang zum Computernetzwerk
- Markierung betretener Räume als Nachweis (Optional: Dokumentation der Vorgänge mittels versteckter Videokamera)
Übersicht
Audit Zutrittsschutz
- Prüfung physischer Sicherheitsmaßnahmen für den Zutrittsschutz
- Unbefugtes Eindringen in Gebäude, z.B. durch Vortäuschung falscher Identitäten, falscher Tatsachen oder Tailgating
- Ergänzende Audits zur Prüfung von Konzepten und Technik
Das auf direkte Angriffe bezogene Audit kann durch eine Konzeptauditierung ergänzt werden. Dieses erfolgt fragebogenbasiert und durch Ortsbegehungen. Dabei werden folgende Teilbereiche geprüft:
- Zutrittsschutz
- Zugangsschutz
- Überwachung und Kontrolle
- Alarmierung
- Sonstige organisatorische Maßnahmen
Ein weitere Vertiefung des Audits ist durch eine technische Prüfung des Gebäudemanagementsystems und des Zutrittskontrollsystems möglich. Ein solches Audit umfasst folgende Bestandteile:
- Betrachtung der Systemarchitektur des zentralen Gebäudemanagements
bezüglich der Einbindung in das Computernetzwerk und Bewertung der
daraus resultierenden Risiken - Penetrationstest des Gebäudemanagementsystems aus Perspektive des lokales Netzwerks
- Recherche bezüglich Manipulationsmöglichkeiten (bekannte Schwachstellen) des jeweils verwendeten Zutrittskontrollsystems (ggf. Angriffsversuche auf das System)
Die beschriebenen Audittypen lassen sich beliebig miteinander kombinieren.
