ISO 27001
Bei der ISO 27001 (Kurzform für ISO/IEC 27001) handelt es sich um einen international anerkannten Standard für Informationssicherheitsmanagementsysteme (ISMS). Die Norm wurde von der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC) veröffentlicht und ist ein systematischer Ansatz zur Verwaltung und Sicherung sensibler Unternehmensinformationen. Die Norm enthält spezifische Anforderungen, die von Unternehmen speziell auf ihre Firma adaptiert werden sollen. Eine Liste mit allen Anforderungen ist der ISO 27001 angehängt.
Mit DOCUmedia finden Sie passende Ausschreibungen & Aufträge: Jetzt Auftragschancen entdecken!
Was ist die ISO 27001 & wie setzt sie sich zusammen?
Der Bewertungsrahmen für Informationssicherheit, auch bekannt als ISO 27001, setzt sich aus insgesamt elf Abschnitten zusammen und enthält einen Anhang. Als reine Informationsgrundlage dienen die ersten 4 Abschnitte. Die restlichen Abschnitte behandeln alle Bedingungen, die ein Unternehmen erfüllen muss, um die Zertifizierung nach ISO 27001 zu erhalten. Die Anforderungen, die im Anhang verschriftlich wurden, müssen nur unter bestimmten Voraussetzungen erfüllt werden.
Was ist ein Informationssicherheits-Managementsystem?
Unter einem Informationssicherheits-Managementsystem (ISMS) versteht man die Sicherheitsmechanismen, die innerhalb einer Firma beschlossen werden, um Hackerangriffen entgegenzuwirken und tragen somit maßgeblich zum Schutz sensibler Daten bei.
Welche Rolle spielt die ISO 27001?
Die ISO 27001 dient dazu, ein Rahmenwerk zu liefern, das den Aufbau, die Implementierung, den Betrieb, die Überwachung, die Wartung und die Optimierung eines Informationssicherheits-Managementsystems (ISMS) unterstützt. Unternehmen haben die Möglichkeit, sich nach ISO 27001 zertifizieren zu lassen und somit das Risiko für den Verlust oder Missbrauch vertraulicher Daten durch Hackerangriffe, globale Virusattacken etc. zu senken. Die ISO 27001 ist die einzig international anerkannte Norm für Informationssicherheit und ermöglicht es Firmen, die eigene Datensicherheit zu optimieren.
Gründe für die Zertifizierung nach ISO 27001
Eine Zertifizierung nach ISO 27001 bietet verschiedene Vorteile. Grundsätzlich sorgt ein ISMS dafür, Cyberkriminalität rechtzeitig zu erkennen und Angriffe zu vermeiden.
Mit einer Zertifizierung werden konkrete Maßnahmen dafür umgesetzt, Daten vor Verlust, Missbrauch oder Offenlegung möglichst umfangreich zu schützen. Kunden, Geschäftspartnern und weiteren Stakeholdern wird vermittelt, dass ein Unternehmen robuste Sicherheitspraktiken implementiert hat. So wird Sicherheit gegeben, Vertrauen geschafft und sich möglicherweise vom Wettbewerb abgehoben. Gleichzeitig werden die Geschäfts- und Haftungsrisiken gesenkt, was wiederum zu niedrigeren Versicherungsbeiträgen führen kann. Auch wird Unternehmen ermöglicht, rechtliche und regulatorische Anforderungen zu erfüllen und so rechtliche Sanktionen und finanzielle Verluste zu vermeiden.
ISO 27001: So funktioniert sie
Entscheidet sich ein Unternehmen für die Zertifizierung nach ISO 27001, wird zunächst der Status Quo in Sachen Informationssicherheit analysiert und daraus das aktuelle Sicherheitsrisiko ermittelt. Nachdem das Risiko der Behandlung und des Schutzes vertraulicher Daten eingeschätzt wurde, werden konkrete Maßnahmen zur Verbesserung der aktuellen Situation beschlossen und ein SOLL-Status festgelegt.
Anforderungen & Richtlinien
Die Anforderungen der ISO 27001 betreffen sowohl allgemeine Richtlinien als auch technische Voraussetzung wie z.B. an Soft- und Hardware. Viele Vorgaben sind in alltäglichen Arbeitsschritten zu berücksichtigen und tragen alle gemeinsam dazu bei, das komplette ISMS sicherer zu gestalten.
Schritte zur Zertifizierung nach ISO 27001
Vorbereitung: Umsetzung der Norm im Unternehmen
Um die Zertifizierung nach ISO 27001 zu erhalten, sind einige vorbereitende Maßnahmen vom zu zertifizierenden Unternehmen durchzuführen. Es müssen beispielsweise der Anwendungsbereich des ISMS beschlossen, das aktuelle Risiko ermittelt und Vorschläge zur Verbesserung vorgewiesen werden. Dafür muss ein konkreter Plan ausgearbeitet werden, der die verantwortlichen Personen, Assets und Richtlinien benennt.
Der Zertifizierungsprozess
Der Zertifizierungsprozess für die ISO 27001 ähnelt der Zertifikatvergabe anderer Managementsysteme und setzt sich aus drei Phasen zusammen. Zunächst muss ein Unternehmen die Bedingungen, die in der Norm festgehalten sind, umsetzen. Im nächsten Schritt überprüft ein unabhängiger Auditor, inwiefern diese Anforderungen umgesetzt wurden. Das Zertifikat wird dann ausgestellt, wenn der Auditor die ergriffenen Maßnahmen als ausreichend bewertet. Das Zertifikat wird dann von einer speziellen Zertifizierungsstelle ausgestellt.
Im Oktober 2022 wurde ein neuer Bewertungsrahmen für Informationssicherheit veröffentlicht, die ISO/IEC 27001:2022. Diese stimmt nun wieder mit der ISO 27002 überein, welche Unternehmen dabei hilft, implementierte Maßnahmen zur Informationssicherheit zu kontrollieren und weitere Informationen und Tipps bereithält.
