Anforderungen der ISO 27001

Information Security / ISO / world of data
Lesezeit: 12 Minuten

ISO/IEC 27001 ist eine internationale Norm für Informationssicherheits-Managementsysteme (ISMS).

Sie bietet einen Rahmen für Unternehmen aller Größen und Branchen, um ihre Informationen systematisch und kosteneffektiv zu schützen. Die Anforderungen der ISO 27001 sind umfassend und sollen Unternehmen dabei helfen, die Sicherheit von Vermögenswerten wie Finanzinformationen, geistigem Eigentum, Mitarbeiterdaten oder Informationen, die ihnen von Dritten anvertraut wurden, zu gewährleisten. Hier sind die Hauptanforderungen ausführlich erläutert:

Kontext der Organisation

  • Verstehen der internen und externen Faktoren, die das ISMS beeinflussen.
  • Identifikation der interessierten Parteien und ihrer Anforderungen.

Der “Kontext der Organisation” ist ein wesentlicher Bestandteil der ISO/IEC 27001, da er den Rahmen für das Informationssicherheits-Managementsystem (ISMS) definiert. Diese Phase erfordert ein tiefes Verständnis der internen und externen Faktoren, die das ISMS beeinflussen. Hier sind die Schlüsselelemente des “Kontexts der Organisation” im Detail:

  1. Verstehen der Organisation und ihres Kontextes:
    • Analyse der externen Faktoren: Dazu gehören rechtliche, technologische, wettbewerbliche, marktbezogene, kulturelle, soziale und wirtschaftliche Umwelt, in der die Organisation operiert.
    • Analyse der internen Faktoren: Dies umfasst die Größe der Organisation, die Organisationsstruktur, die Rollen und Verantwortlichkeiten, die Ressourcen sowie die Unternehmenskultur und -werte.
  2. Verstehen der Anforderungen interessierter Parteien:
    • Identifikation der Parteien, die ein Interesse am ISMS haben, wie Kunden, Mitarbeiter, Lieferanten, Gesetzgeber, Partner und die Öffentlichkeit.
    • Verständnis ihrer Bedürfnisse und Erwartungen, insbesondere in Bezug auf Informationssicherheit.
  3. Bestimmung des Anwendungsbereichs des ISMS:
    • Festlegung der Grenzen und Anwendbarkeit des ISMS, um die Geschäftsziele zu erreichen.
    • Berücksichtigung der internen und externen Faktoren sowie der Anforderungen der interessierten Parteien.
    • Der Anwendungsbereich sollte klar definiert und dokumentiert sein, einschließlich der Aspekte, die von dem ISMS abgedeckt werden.
  4. Informationssicherheitsmanagement-System:
    • Entwicklung eines Ansatzes für das ISMS, der auf den Organisationskontext zugeschnitten ist.
    • Festlegung von Richtlinien, Zielen, Prozessen und Verfahren, die das ISMS unterstützen.
  5. Risikoorientierter Ansatz:
    • Verwendung eines risikoorientierten Ansatzes zur Identifizierung, Analyse und Behandlung von Informationssicherheitsrisiken.
    • Dies sollte auf dem Verständnis des Organisationskontexts und der Anforderungen der interessierten Parteien basieren.
  6. Führung und Verpflichtung:
    • Sicherstellung, dass die Führungsebene die Bedeutung des ISMS versteht und sich dafür engagiert.
    • Entwicklung einer Kultur der Informationssicherheit innerhalb der Organisation.
  7. Dokumentation und kontinuierliche Überwachung:
    • Dokumentation des Kontextes der Organisation als Teil des ISMS.
    • Regelmäßige Überprüfung und Aktualisierung des Kontextes, um sicherzustellen, dass das ISMS weiterhin relevant und effektiv bleibt.

Durch die gründliche Analyse und das Verständnis des Kontextes der Organisation kann ein Unternehmen sicherstellen, dass sein ISMS nicht nur den aktuellen Bedürfnissen entspricht, sondern auch flexibel genug ist, um sich an zukünftige Veränderungen in der Organisationsumgebung anzupassen. Dieser Prozess hilft dabei, ein solides Fundament für die Informationssicherheit zu schaffen und die Organisation auf ihrem Weg zur Einhaltung der ISO 27001 und zur kontinuierlichen Verbesserung zu unterstützen.

Führung

  • Verpflichtung des Top-Managements zur Informationssicherheit.
  • Festlegung einer Informationssicherheitspolitik.
  • Zuweisung von Verantwortlichkeiten und Befugnissen für die Informationssicherheit im Unternehmen.

In der ISO/IEC 27001 ist die “Führung” ein entscheidender Aspekt, da sie die Grundlage für ein effektives Informationssicherheits-Managementsystem (ISMS) legt. Die Norm betont die Rolle der obersten Leitung bei der Schaffung, Umsetzung, Aufrechterhaltung und kontinuierlichen Verbesserung des ISMS. Hier sind die wesentlichen Elemente der “Führung” im Detail:

  1. Verpflichtung des Top-Managements:
    • Das Top-Management muss seine Verpflichtung zur Informationssicherheit demonstrieren. Dies beinhaltet die aktive Unterstützung und das Engagement für das ISMS.
    • Die Führungskräfte müssen sicherstellen, dass die Informationssicherheitspolitik und -ziele mit der strategischen Ausrichtung der Organisation übereinstimmen.
  2. Informationssicherheitspolitik:
    • Entwicklung und Genehmigung einer Informationssicherheitspolitik, die den organisatorischen Kontext und die Anforderungen an die Informationssicherheit widerspiegelt.
    • Die Politik sollte für alle Mitarbeiter und relevante Parteien zugänglich sein und regelmäßig überprüft werden.
  3. Organisationsrollen, Verantwortlichkeiten und Befugnisse:
    • Klare Definition und Zuweisung von Rollen, Verantwortlichkeiten und Befugnissen in Bezug auf das ISMS.
    • Sicherstellung, dass ausreichende Ressourcen für das ISMS bereitgestellt werden und dass das Personal für seine Rolle im ISMS angemessen geschult ist.
  4. Kommunikation und Bewusstsein:
    • Förderung des Bewusstseins für Informationssicherheit in der gesamten Organisation.
    • Kommunikation der Bedeutung der Informationssicherheit und der Konformität mit der Sicherheitspolitik an alle Mitarbeiter und externe Parteien.
  5. Managementbewertung des ISMS:
    • Das Top-Management muss das ISMS regelmäßig bewerten, um seine fortlaufende Eignung, Angemessenheit und Wirksamkeit sicherzustellen.
    • Bewertungen sollten Veränderungen im Organisationskontext, Feedback von interessierten Parteien und die Leistung des ISMS berücksichtigen.
  6. Förderung des kontinuierlichen Verbesserungsprozesses:
    • Das Top-Management sollte kontinuierliche Verbesserung des ISMS unterstützen und fördern.
    • Dies beinhaltet die Identifizierung von Möglichkeiten zur Verbesserung und die Anpassung des ISMS an die sich ändernden Bedingungen und Erkenntnisse.
  7. Ressourcenbereitstellung:
    • Bereitstellung der notwendigen Ressourcen für das ISMS, einschließlich Personal, Technologie und Finanzen.
    • Sicherstellung, dass diese Ressourcen effektiv eingesetzt werden, um die Sicherheitsziele zu erreichen.

Die Rolle der Führung ist in der ISO/IEC 27001 von zentraler Bedeutung, da das Engagement und die Unterstützung des Top-Managements für die Entwicklung, Implementierung und Aufrechterhaltung eines wirksamen ISMS unerlässlich sind. Durch die Schaffung einer Kultur der Informationssicherheit, die von der Spitze der Organisation ausgeht, kann ein effektiver Rahmen für die Verwaltung und den Schutz von Informationen etabliert werden.

Planung

  • Ermittlung von Risiken und Chancen für das ISMS.
  • Festlegung von Informationssicherheitszielen und deren Planung zur Erreichung.
  • Risikobewertungs- und Risikobehandlungsprozesse.

In der ISO/IEC 27001 bezieht sich der Abschnitt “Planung” auf die Prozesse und Maßnahmen, die für die Etablierung, Überwachung, Aufrechterhaltung und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS) erforderlich sind. Dieser Abschnitt ist entscheidend, da er sicherstellt, dass das ISMS die Geschäftsziele der Organisation effektiv unterstützt und gleichzeitig den Risiken und Anforderungen der Informationssicherheit gerecht wird. Hier sind die wesentlichen Aspekte der Planung im Detail:

  1. Risikobewertung und Risikobehandlung:
    • Risikobewertungsverfahren: Entwicklung und Anwendung eines Verfahrens zur Risikobewertung. Dieses Verfahren sollte konsistent und reproduzierbar sein und die Identifizierung, Analyse und Bewertung von Informationssicherheitsrisiken umfassen.
    • Risikobehandlungsplan: Nachdem die Risiken identifiziert wurden, muss ein Plan zur Behandlung dieser Risiken entwickelt werden. Dies kann Maßnahmen zur Risikominderung, -übertragung, -vermeidung oder -akzeptanz umfassen.
  2. Informationssicherheitsziele und Planung zur Erreichung derselben:
    • Festlegung spezifischer, messbarer, erreichbarer, relevanter und zeitgebundener (SMART) Informationssicherheitsziele auf verschiedenen Ebenen der Organisation.
    • Die Ziele sollten mit der Informationssicherheitspolitik und den Geschäftszielen der Organisation in Einklang stehen.
    • Entwickeln von Plänen zur Erreichung dieser Ziele, einschließlich der Zuweisung von Verantwortlichkeiten, Ressourcen und Zeitrahmen.
  3. Behandlung von Risiken und Chancen:
    • Identifizierung von Risiken und Chancen, die sich auf das ISMS auswirken könnten, und Planung von Maßnahmen, um diese zu behandeln. Dies trägt zur Verbesserung der Informationssicherheit und zur Erreichung der Unternehmensziele bei.
    • Dokumentation der Ergebnisse der Risikobewertung und des Risikobehandlungsplans.
  4. Integration in die Geschäftsprozesse:
    • Sicherstellung, dass Informationssicherheitsmaßnahmen in die Geschäftsprozesse integriert werden.
    • Berücksichtigung von Informationssicherheit in allen Phasen des Lebenszyklus von Informationen und IT-Systemen.
  5. Ressourcenmanagement:
    • Identifizierung und Bereitstellung der Ressourcen, die für die Umsetzung, Aufrechterhaltung und Verbesserung des ISMS erforderlich sind.
  6. Änderungsmanagement:
    • Entwicklung eines Prozesses zur Verwaltung von Änderungen im ISMS, um sicherzustellen, dass Änderungen kontrolliert, überprüft und genehmigt werden, bevor sie implementiert werden.
  7. Dokumentation und Aufzeichnungen:
    • Führung angemessener Aufzeichnungen und Dokumentation, um die Planung und Umsetzung des ISMS nachzuweisen und zu unterstützen.

Die Planungsphase der ISO/IEC 27001 verlangt von Organisationen, dass sie einen proaktiven und methodischen Ansatz bei der Behandlung von Informationssicherheitsrisiken verfolgen. Sie erfordert auch, dass Organisationen ihre Informationssicherheitsziele klar definieren und systematisch Maßnahmen ergreifen, um diese zu erreichen. Dieser Ansatz gewährleistet, dass die Informationssicherheit in Einklang mit der Geschäftsstrategie und den Zielen der Organisation steht und dass das ISMS effektiv und effizient arbeitet.

Unterstützung

  • Bereitstellung der notwendigen Ressourcen für das ISMS.
  • Sensibilisierung, Kommunikation und Schulung in Bezug auf Informationssicherheit.
  • Management von dokumentierten Informationen.

Der Abschnitt “Unterstützung” in der ISO/IEC 27001 bezieht sich auf die Ressourcen, Kompetenzen, Bewusstsein, Kommunikation und das Management dokumentierter Informationen, die erforderlich sind, um ein effektives Informationssicherheits-Managementsystem (ISMS) aufzubauen und aufrechtzuerhalten. Dieser Bereich ist entscheidend, da er die Grundlage für die Implementierung und Verbesserung des ISMS bildet. Hier sind die wesentlichen Aspekte der Unterstützung im Detail:

  1. Ressourcen:
    • Bereitstellung der notwendigen Ressourcen für das ISMS. Dies umfasst Personal, technologische Ressourcen, Infrastruktur und finanzielle Mittel.
    • Sicherstellung, dass ausreichende Ressourcen für alle Aspekte des ISMS, einschließlich Risikomanagement, Sicherheitsmaßnahmen, Schulung und Bewusstseinsbildung, zur Verfügung stehen.
  2. Kompetenzen:
    • Identifikation der notwendigen Kompetenzen für Personen, die im Rahmen des ISMS arbeiten.
    • Bewertung der Kompetenzen und Bereitstellung von Schulungen oder anderen Maßnahmen, um diese Kompetenzen zu erlangen oder zu verbessern.
    • Überprüfung der Wirksamkeit der durchgeführten Schulungsmaßnahmen.
  3. Bewusstsein:
    • Schaffung von Bewusstsein bei allen Mitarbeitern bezüglich der Informationssicherheitspolitik, der Bedeutung der Informationssicherheit, ihrer Rollen und Verantwortlichkeiten sowie der Folgen von Sicherheitsverstößen.
    • Regelmäßige Kampagnen und Kommunikation, um das Sicherheitsbewusstsein zu erhöhen und zu erhalten.
  4. Kommunikation:
    • Etablierung geeigneter Kommunikationsprozesse bezüglich des ISMS und der Informationssicherheit.
    • Kommunikation sollte klar, effektiv und an die Bedürfnisse und das Verständnis der Zielgruppen angepasst sein.
  5. Management dokumentierter Informationen:
    • Schaffung und Pflege von dokumentierten Informationen, die für die Effektivität des ISMS erforderlich sind.
    • Dies umfasst die Erstellung, Aktualisierung und Kontrolle von Dokumenten, wie die Informationssicherheitspolitik, Verfahren, Aufzeichnungen und Arbeitsanweisungen.
    • Sicherstellung, dass dokumentierte Informationen geschützt, zugänglich und auf dem neuesten Stand sind.
  6. Datenschutz und Vertraulichkeit:
    • Sicherstellung, dass persönliche Daten und vertrauliche Informationen im Rahmen des ISMS geschützt werden.
  7. Technologische Unterstützung:
    • Bereitstellung und Wartung von Technologie und Systemen, die für das ISMS erforderlich sind.
  8. Kontinuierliche Verbesserung:
    • Förderung einer Kultur der kontinuierlichen Verbesserung im Bereich Informationssicherheit.

Die Unterstützung ist ein kritischer Bereich, da sie die Basis bildet, auf der alle anderen Aspekte des ISMS aufbauen. Ohne angemessene Ressourcen, kompetentes Personal, ein hohes Maß an Bewusstsein und effektive Kommunikation kann ein ISMS nicht erfolgreich implementiert oder aufrechterhalten werden. Organisationen müssen sicherstellen, dass sie in diesen Bereichen angemessen investieren und sie kontinuierlich überwachen und verbessern.

Betrieb

  • Planung, Implementierung und Kontrolle der Prozesse, die für die Erreichung der Informationssicherheitsziele notwendig sind.
  • Risikobehandlung und Umsetzung der ausgewählten Kontrollen.
  • Management von Änderungen.

Der Abschnitt “Betrieb” in der ISO/IEC 27001 befasst sich mit der konkreten Umsetzung und Anwendung des Informationssicherheits-Managementsystems (ISMS) in der täglichen Praxis der Organisation. Dieser Schritt ist zentral für die Effektivität des ISMS, da er sicherstellt, dass die in der Planungsphase festgelegten Richtlinien und Prozesse tatsächlich in Betrieb genommen und angewendet werden. Hier sind die Schlüsselaspekte des Betriebs im Detail:

  1. Umsetzung der geplanten Kontrollmaßnahmen:
    • Effektive Implementierung der Sicherheitskontrollen, die im Rahmen der Risikobehandlung identifiziert wurden. Dies kann physische, technische und organisatorische Kontrollen umfassen.
    • Sicherstellung, dass diese Kontrollen entsprechend den definierten Standards und Verfahren angewendet werden.
  2. Risikobehandlungsplan:
    • Aktive Umsetzung und Überwachung des Risikobehandlungsplans.
    • Regelmäßige Überprüfung und Anpassung des Plans, um sicherzustellen, dass er weiterhin relevant und wirksam ist.
  3. Betriebliche Prozesse und Verfahren:
    • Definition und Dokumentation der betrieblichen Prozesse und Verfahren im Einklang mit den Anforderungen des ISMS.
    • Sicherstellung, dass alle Mitarbeiter die Prozesse und Verfahren verstehen und befolgen.
  4. Änderungsmanagement:
    • Etablierung eines Prozesses für das Management von Änderungen an IT-Systemen, Anwendungen und Infrastrukturen, um die Auswirkungen auf die Sicherheit zu bewerten und zu kontrollieren.
  5. Dokumentation und Aufzeichnung von Aktivitäten:
    • Führung von Aufzeichnungen über die betrieblichen Aktivitäten und Ereignisse, die für das ISMS relevant sind.
    • Diese Aufzeichnungen sind wichtig für die spätere Überprüfung und Auditierung des ISMS.
  6. Überwachung und Überprüfung der Kontrollen:
    • Regelmäßige Überwachung und Überprüfung der Wirksamkeit der Sicherheitskontrollen.
    • Dazu gehören regelmäßige Sicherheitsaudits, Tests und Bewertungen.
  7. Management von Informationssicherheitsvorfällen:
    • Etablierung und Umsetzung eines effektiven Incident-Management-Verfahrens.
    • Schnelle Erkennung, Meldung und Behebung von Sicherheitsvorfällen.
  8. Business Continuity Management:
    • Sicherstellung, dass Pläne für die Geschäftskontinuität vorhanden sind und die Informationssicherheit in diese Pläne integriert ist.
    • Regelmäßige Tests und Überprüfungen dieser Pläne.
  9. Umgang mit Ressourcen und Drittanbietern:
    • Sicherstellung, dass alle externen Parteien, die Zugriff auf die Informationssysteme und -daten der Organisation haben, die Sicherheitsanforderungen der Organisation erfüllen.
  10. Kontinuierliche Verbesserung:
    • Fortlaufende Überwachung und Verbesserung der betrieblichen Prozesse, um die Effektivität des ISMS zu erhöhen.

Der Betrieb ist ein dynamischer und kontinuierlicher Prozess, der Flexibilität und Anpassungsfähigkeit erfordert, um auf sich ändernde Bedrohungen und Geschäftsanforderungen reagieren zu können. Durch die effektive Umsetzung und Verwaltung des Betriebs sichert eine Organisation nicht nur ihre Informationen, sondern schafft auch eine Grundlage für kontinuierliche Verbesserung und Anpassung des ISMS an neue Herausforderungen.

Leistungsbewertung

  • Überwachung, Messung, Analyse und Bewertung der Informationssicherheitsleistung.
  • Internes Audit.
  • Managementbewertung des ISMS.

Die “Leistungsbewertung” ist ein kritischer Teil des Informationssicherheits-Managementsystems (ISMS) gemäß ISO/IEC 27001. Sie ermöglicht es einer Organisation zu überprüfen, ob ihr ISMS angemessen, adäquat und effektiv ist, um die festgelegten Informationssicherheitsziele zu erreichen. Dieser Prozess hilft dabei, die Stärken und Schwächen des Systems zu identifizieren und notwendige Anpassungen vorzunehmen. Hier sind die Hauptaspekte der Leistungsbewertung detailliert beschrieben:

  1. Überwachung, Messung, Analyse und Bewertung:
    • Festlegung und Überwachung von Kennzahlen (KPIs) für die Informationssicherheit, um die Leistung und Wirksamkeit des ISMS zu beurteilen.
    • Durchführung regelmäßiger Messungen und Analysen dieser Kennzahlen.
    • Bewertung der Effektivität der Sicherheitskontrollen und des Risikomanagements.
    • Sammlung von Feedback von Nutzern, Kunden und anderen interessierten Parteien.
  2. Internes Audit:
    • Planung und Durchführung regelmäßiger interner Audits, um festzustellen, ob das ISMS konform mit den organisatorischen Anforderungen und internationalen Standards ist.
    • Überprüfung, ob die implementierten Prozesse wie vorgesehen funktionieren und effektiv sind.
    • Identifikation von Bereichen, die Verbesserungen oder Korrekturmaßnahmen erfordern.
  3. Managementbewertung:
    • Durchführung regelmäßiger Bewertungen des ISMS durch das Top-Management.
    • Bewertung der Gesamtleistung des ISMS, einschließlich der Wirksamkeit der Risikobehandlung und der Erreichung der Sicherheitsziele.
    • Überprüfung der Änderungen im organisatorischen Kontext, die sich auf das ISMS auswirken könnten, wie neue Technologien, Geschäftsänderungen, rechtliche oder regulatorische Anforderungen.
    • Entscheidung über notwendige Änderungen oder Verbesserungen am ISMS.
  4. Kontinuierliche Verbesserung:
    • Nutzung der Ergebnisse aus Überwachung, Audits und Managementbewertungen, um kontinuierliche Verbesserungen am ISMS vorzunehmen.
    • Entwicklung von Plänen zur Behebung von Schwachstellen und zur Verbesserung der Prozesse und Sicherheitskontrollen.
  5. Dokumentation und Kommunikation der Ergebnisse:
    • Dokumentation der Ergebnisse der Leistungsbewertung, einschließlich Messdaten, Auditberichte und Managementbewertungen.
    • Kommunikation relevanter Informationen an die betroffenen Stakeholder, einschließlich des Managements, der Mitarbeiter und gegebenenfalls externer Parteien.

Die Leistungsbewertung ist ein iterativer Prozess, der sicherstellt, dass das ISMS dynamisch bleibt und sich an verändernde interne und externe Bedingungen anpassen kann. Sie ermöglicht es einer Organisation, proaktiv auf Sicherheitsrisiken zu reagieren und ihre Sicherheitspraktiken kontinuierlich zu verbessern, was zu einer stärkeren und widerstandsfähigeren Informationssicherheitsumgebung führt.

Verbesserung

  • Identifizierung und Behandlung von Nichtkonformitäten.
  • Kontinuierliche Verbesserung des ISMS.

Die “Verbesserung” ist ein entscheidender Aspekt im Rahmen der ISO/IEC 27001, der die fortlaufende Effizienzsteigerung des Informationssicherheits-Managementsystems (ISMS) einer Organisation gewährleistet. Die Verbesserung zielt darauf ab, das ISMS kontinuierlich anzupassen und zu optimieren, um auf sich ändernde Risiken, Geschäftsanforderungen und technologische Entwicklungen zu reagieren. Hier sind die Hauptaspekte der Verbesserung im Detail:

  1. Kontinuierliche Verbesserung des ISMS:
    • Systematische Bewertung und Verbesserung der Wirksamkeit des ISMS.
    • Nutzung der Ergebnisse aus internen Audits, Managementbewertungen, Überwachung und Messung sowie Feedback von Mitarbeitern und anderen interessierten Parteien.
    • Implementierung von Veränderungen zur Verbesserung der Gesamtleistung des ISMS.
  2. Umgang mit Nichtkonformitäten und Korrekturmaßnahmen:
    • Identifikation und Dokumentation von Nichtkonformitäten im ISMS.
    • Analyse der Ursachen von Nichtkonformitäten, um systemische Probleme zu identifizieren.
    • Entwicklung und Umsetzung von Korrekturmaßnahmen, um die Nichtkonformitäten zu beheben und zu verhindern, dass sie sich wiederholen.
    • Überprüfung der Wirksamkeit der umgesetzten Korrekturmaßnahmen.
  3. Verbesserung der Sicherheitsleistung und Risikomanagement:
    • Regelmäßige Überprüfung und Aktualisierung der Risikobewertung und des Risikobehandlungsplans.
    • Anpassung der Sicherheitsmaßnahmen und -kontrollen, um auf sich ändernde Risikolandschaften und Geschäftsanforderungen zu reagieren.
  4. Innovative Ansätze und Technologien:
    • Berücksichtigung neuer Technologien und Ansätze zur Verbesserung der Informationssicherheit.
    • Evaluierung und gegebenenfalls Implementierung innovativer Sicherheitslösungen.
  5. Förderung der Sicherheitskultur und des Bewusstseins:
    • Stärkung der Sicherheitskultur innerhalb der Organisation.
    • Fortlaufende Schulungen und Bewusstseinsprogramme für Mitarbeiter zur Förderung eines besseren Verständnisses und einer höheren Einhaltung von Sicherheitsrichtlinien.
  6. Feedback und Kommunikation:
    • Einbeziehung von Feedback-Mechanismen, um Verbesserungsvorschläge von Mitarbeitern und anderen Stakeholdern zu sammeln.
    • Effektive Kommunikation über Verbesserungen und Änderungen im ISMS an alle relevanten Parteien.
  7. Überprüfung der Sicherheitsrichtlinien und -verfahren:
    • Regelmäßige Überprüfung und Aktualisierung der Sicherheitsrichtlinien und -verfahren, um sicherzustellen, dass sie aktuell und effektiv sind.
  8. Messung der Verbesserungen:
    • Entwicklung von Metriken zur Messung der Wirksamkeit von Verbesserungen.
    • Verwendung dieser Metriken, um den Fortschritt und den Erfolg von Verbesserungsinitiativen zu beurteilen.

Die Verbesserung im Rahmen der ISO/IEC 27001 ist ein kontinuierlicher Prozess, der eine proaktive Haltung erfordert, um sicherzustellen, dass das ISMS dynamisch bleibt und effektiv auf Veränderungen in der internen und externen Umgebung reagieren kann. Durch die ständige Suche nach Verbesserungen kann eine Organisation nicht nur ihre Informationssicherheit aufrechterhalten, sondern auch ihre allgemeine Widerstandsfähigkeit und Effektivität im Umgang mit Sicherheitsrisiken steigern.

Anhang A – Kontrollziele und Kontrollen

  • Anhang A der ISO 27001 listet eine Reihe von Kontrollzielen und Kontrollen auf, die Unternehmen bei der Behandlung von Risiken unterstützen.
  • Diese Kontrollen sind in 14 Domänen gegliedert, darunter Sicherheitsrichtlinien, Organisation der Informationssicherheit, Personalsicherheit, Asset-Management, Zugangskontrolle, Kryptographie, physische und umweltbezogene Sicherheit, Betriebssicherheit, Kommunikationssicherheit, Systembeschaffung, -entwicklung und -wartung, Lieferantenbeziehungen, Incident-Management, Informationssicherheitsaspekte des Business Continuity Managements und Compliance.

Anhang A der ISO/IEC 27001 ist ein integraler Bestandteil des Standards, der eine umfassende Liste von Kontrollzielen und Kontrollen (Sicherheitsmaßnahmen) bereitstellt. Diese Kontrollen dienen dazu, Risiken im Rahmen des Informationssicherheits-Managementsystems (ISMS) zu mindern. Anhang A umfasst 114 Kontrollen, die in 14 Domänen (auch als Kategorien oder Clusters bezeichnet) organisiert sind. Jede Domäne befasst sich mit spezifischen Aspekten der Informationssicherheit. Hier ist ein detaillierter Überblick über diese Domänen und ihre Hauptziele:

  1. A.5 Informationssicherheitsrichtlinien:
    • Festlegung des Rahmens für das ISMS durch Richtlinien, die von der obersten Leitung genehmigt und regelmäßig überprüft werden.
  2. A.6 Organisation der Informationssicherheit:
    • Etablierung einer Organisationsstruktur für die Informationssicherheit.
    • Definition von Rollen und Verantwortlichkeiten.
  3. A.7 Personelle Sicherheit:
    • Sicherstellung, dass Mitarbeiter, Auftragnehmer und Dritte ihre Verantwortlichkeiten verstehen.
    • Schutz vor böswilligen, betrügerischen oder fahrlässigen Handlungen.
  4. A.8 Asset-Management:
    • Identifizierung von Informationswerten und Bereitstellung eines angemessenen Schutzniveaus.
  5. A.9 Zugangskontrolle:
    • Beschränkung des Zugriffs auf Informationen und Informationssysteme.
    • Sicherstellung, dass Nutzer nur Zugang zu den Ressourcen haben, die sie für ihre Arbeit benötigen.
  6. A.10 Kryptographie:
    • Einsatz von Kryptographie zum Schutz der Vertraulichkeit, Authentizität und Integrität von Informationen.
  7. A.11 Physische und umgebungsbezogene Sicherheit:
    • Schutz von physischen Standorten und Ausrüstung.
    • Verhinderung von unbefugtem physischem Zugriff, Schäden und Störungen.
  8. A.12 Betriebssicherheit:
    • Sicherstellung eines sicheren Betriebs von Informationssystemen.
    • Schutz vor Datenverlust oder -manipulation.
  9. A.13 Kommunikationssicherheit:
    • Schutz der Information in Netzwerken.
    • Sicherstellung der Sicherheit von Informationen, die in Netzwerken übertragen werden.
  10. A.14 Systembeschaffung, -entwicklung und -wartung:
    • Gewährleistung der Sicherheit in Systemlebenszyklus-Prozessen.
    • Integration der Informationssicherheit in Systeme.
  11. A.15 Lieferantenbeziehungen:
    • Schutz von Unternehmenswerten, die zu Lieferanten ausgelagert sind.
    • Management von Lieferantenrisiken.
  12. A.16 Informationssicherheitsvorfälle:
    • Management von Informationssicherheitsvorfällen und Verbesserung des Umgangs mit diesen.
  13. A.17 Aspekte der Informationssicherheit bei Business Continuity-Management:
    • Einbeziehung der Informationssicherheit in das Business Continuity-Management.
    • Vorbereitung auf, Schutz vor und Wiederherstellung nach Unterbrechungen.
  14. A.18 Compliance:
    • Sicherstellung der Einhaltung gesetzlicher und vertraglicher Anforderungen.
    • Vermeidung von Sicherheitsverstößen und daraus resultierenden Sanktionen.

Jede Kontrolle in Anhang A ist so konzipiert, dass sie auf spezifische Risiken reagiert, die während des Risikobewertungsprozesses identifiziert wurden. Nicht alle Kontrollen sind für jede Organisation relevant; die Auswahl hängt von der individuellen Risikobewertung und dem Kontext der Organisation ab. Die Implementierung dieser Kontrollen sollte in einem dokumentierten Verfahren erfolgen, das auch ihre Überprüfung und kontinuierliche Anpassung umfasst.

Unternehmen, die sich für die ISO 27001-Zertifizierung entscheiden, müssen nachweisen, dass sie alle relevanten Anforderungen der Norm erfüllen und ein wirksames ISMS eingerichtet haben. Dies beinhaltet in der Regel eine umfassende interne und externe Auditierung des ISMS. Die Norm legt großen Wert auf einen kontinuierlichen Verbesserungsprozess, der eine ständige Anpassung und Verbesserung des ISMS sicherstellt.