ISO 27001 Compliance: Was Sie wissen müssen

ISO/IEC 27001 ist ein Satz internationaler Standards, die entwickelt wurden, um die Informationssicherheit zu leiten. Seine Komponentenstandards, wie ISO/IEC 27001:2013, sind darauf ausgelegt, Organisationen dabei zu unterstützen, ein Informationssicherheits-Managementsystem (ISMS) einzuführen, aufrechtzuerhalten und kontinuierlich zu verbessern.

Die Einhaltung von ISO 27001 ist nicht verpflichtend. Jedoch, in einer Welt, in der Hacker unermüdlich Ihre Daten angreifen und immer mehr Datenschutz-Vorschriften hohe Strafen nach sich ziehen, wird Ihnen die Befolgung der ISO-Standards dabei helfen, Risiken zu reduzieren, gesetzlichen Anforderungen zu entsprechen, Ihre Kosten zu senken und einen Wettbewerbsvorteil zu erlangen. Kurz gesagt, eine ISO 27001-Zertifizierung wird Ihrem Unternehmen helfen, Kunden zu gewinnen und zu halten.

Dieser Artikel erläutert die grundlegenden ISO 27001 Anforderungen, zugehörige Sicherheitskontrollen und Schritte im Zertifizierungsprozess. Er bietet auch Tipps zur Aufrechterhaltung der ISO 27001-Konformität und erklärt, wie Netwrix Lösungen dabei unterstützen können.

Was ist ISO 27001?

ISO/IEC 27001 ist ein Satz von Informationstechnologie-Standards, der Organisationen jeder Größe in jeder Branche dabei helfen soll, ein wirksames Informationssicherheitsmanagementsystem zu implementieren. Der Standard verwendet einen Top-Down-Ansatz, der auf Risiken basiert und technologieneutral ist.

Risikomanagement ist die zentrale Idee von ISO 27001: Sie müssen sensible oder wertvolle Informationen identifizieren, die Schutz benötigen, die verschiedenen Möglichkeiten bestimmen, wie Daten gefährdet sein könnten, und Kontrollen implementieren, um jedes Risiko zu mindern. Risiko beinhaltet jede Bedrohung für die Vertraulichkeit, Integrität oder Verfügbarkeit von Daten. Der Standard bietet einen Rahmen für die Auswahl geeigneter Kontrollen und Prozesse.

Insbesondere erfordert ISO 27001 von Ihnen, dass Sie:

• Identifizieren Sie Stakeholder und deren Erwartungen an das ISMS
• Definieren Sie den Geltungsbereich Ihres ISMS
• Definieren Sie eine Sicherheitsrichtlinie
• Führen Sie eine Risikobewertung durch, um bestehende und potenzielle Datenrisiken zu identifizieren
• Definieren Sie Kontrollen und Prozesse zur Verwaltung dieser Risiken
• Definieren Sie klare Ziele für jede Initiative zur Informationssicherheit
• Implementieren Sie Kontrollen und andere Methoden zur Risikobehandlung
• Messen und verbessern Sie kontinuierlich die Leistung des ISMS

Anforderungen und Sicherheitskontrollen

Anforderungen der ISO 27001

Die Norm besteht aus zwei Hauptteilen. Der erste Abschnitt definiert Begriffe und Anforderungen in den folgenden nummerierten Klauseln:

1. Einführung — Beschreibt den Prozess für das systematische Management von Informationsrisiken
2. Umfang — Legt generische ISMS-Anforderungen fest, die für Organisationen jeder Art, Größe oder Natur geeignet sind
3. Normative Verweise — Listet andere Standards auf, die zusätzliche Informationen enthalten, die für die Bestimmung der ISO 27001-Konformität relevant sind (nur einer, ISO/IEC 27000, ist aufgeführt)
4. Begriffe und Definitionen — Erläutert die komplexeren Begriffe, die in der Norm verwendet werden
5. Organisatorischer Kontext — Erläutert, warum und wie die internen und externen Probleme definiert werden sollen, die die Fähigkeit eines Unternehmens beeinflussen können, ein ISMS aufzubauen, und fordert die Organisation auf, das ISMS einzurichten, umzusetzen, aufrechtzuerhalten und kontinuierlich zu verbessern
6. Führung — Erfordert, dass das Top-Management Führung und Engagement für das ISMS zeigt, Richtlinien vorgibt und Rollen sowie Verantwortlichkeiten im Bereich Informationssicherheit zuweist
7. Planung — Beschreibt Prozesse zur Identifizierung, Analyse und Planung der Behandlung von Informationsrisiken und klärt das Ziel von Initiativen zur Informationssicherheit
8. Support: Erfordert von Organisationen die Zuweisung angemessener Ressourcen, die Sensibilisierung und die Vorbereitung aller notwendigen Dokumentationen
9. Betrieb — Erläutert, wie Informationsrisiken bewertet und behandelt, Änderungen verwaltet und eine ordnungsgemäße Dokumentation sichergestellt werden
10. Leistungsbeurteilung — Verlangt von Organisationen, ihre Kontrollen und Prozesse des Informations-Sicherheitsmanagements zu überwachen, zu messen und zu analysieren
11. Verbesserung — Verlangt von Organisationen, ihr ISMS kontinuierlich zu verfeinern, einschließlich der Behandlung der Ergebnisse von Audits und Überprüfungen

Referenzkontrollziele und -steuerungen

Der zweite Teil, Anhang A, beschreibt eine Reihe von Kontrollen, die Ihnen helfen können, die Anforderungen im ersten Abschnitt zu erfüllen. Ihre Organisation sollte die Kontrollen auswählen, die am besten auf ihre spezifischen Bedürfnisse zugeschnitten sind, und bei Bedarf mit weiteren Kontrollen ergänzen.

Die Steuerungen sind in die folgenden Bereiche gruppiert:

• Informationssicherheitsrichtlinien — Um sicherzustellen, dass Richtlinien im Einklang mit den Sicherheitspraktiken und der Gesamtausrichtung der Organisation geschrieben und überprüft werden
• Organisation der Informationssicherheit — Für die Zuweisung von Verantwortlichkeiten für spezifische Aufgaben
• Human Resource Security — Um sicherzustellen, dass Mitarbeiter und Auftragnehmer ihre Verantwortlichkeiten verstehen.
• Asset Management — Um sicherzustellen, dass Organisationen ihre Informationswerte identifizieren und angemessene Schutzverantwortlichkeiten definieren
• Zugriffskontrollen — Um sicherzustellen, dass Mitarbeiter nur Informationen einsehen können, die für ihre Arbeit relevant sind
• Kryptografie — Zum Verschlüsseln von Daten, um Vertraulichkeit und Integrität zu gewährleisten.
• Physische und Umgebungssicherheit — Um unbefugten physischen Zugang, Beschädigung oder Störung von Räumlichkeiten oder Daten zu verhindern und Ausrüstung zu kontrollieren, um Verlust, Beschädigung oder Diebstahl von Software, Hardware und physischen Dateien zu vermeiden
• Betriebssicherheit — Um sicherzustellen, dass die Informationsverarbeitungsanlagen sicher sind
• Kommunikationssicherheit — Zum Schutz von Informationsnetzwerken
• Systemerwerb, -entwicklung und -wartung — Zur Sicherung sowohl interner Systeme als auch solcher, die Dienste über öffentliche Netzwerke bereitstellen
• Lieferantenbeziehungen — Für die ordnungsgemäße Verwaltung von Vertragsvereinbarungen mit Drittparteien
• Information Security Incident Management — Um eine effektive Verwaltung und Berichterstattung von Sicherheitsvorfällen zu gewährleisten
• Aspekte der Informationssicherheit im Business Continuity Management — Zur Minimierung von Geschäftsunterbrechungen
• Compliance — Um die Einhaltung relevanter Gesetze und Vorschriften sicherzustellen und das Risiko von Nichteinhaltung zu mindern

ISO 27001 Konformität und Zertifizierung

Vorteile

Indem Ihre Organisation freiwillig die Anforderungen der ISO 27001 erfüllt, können Sie proaktiv Informationssicherheitsrisiken verringern und Ihre Fähigkeit verbessern, Datenschutzvorschriften einzuhalten. Wenn Sie einen Schritt weiter gehen und eine ISO 27001-Zertifizierung erreichen, demonstrieren Sie Ihr Engagement für den Schutz Ihrer Datenwerte gegenüber Kunden, Partnern, Lieferanten und anderen. Der Aufbau dieses Vertrauens kann den Ruf Ihres Unternehmens stärken und einen Wettbewerbsvorteil bieten

Verpflichtende Dokumente

Zur Demonstration der ISO 27001-Konformität sind mehrere Dokumente erforderlich, einschließlich der folgenden:

• Geltungsbereich des ISMS (Klausel 4.3)
• Informationssicherheitsrichtlinie (Klausel 5.2)
• Ziele der Informationssicherheit (Klausel 6.2)
• Nachweis der Kompetenz von Personen, die in der Informationssicherheit arbeiten (Klausel 7.2)
• Ergebnisse der Information Risk Assessment (Klausel 8.2)
• ISMS Internes Auditprogramm und Ergebnisse durchgeführter Audits (Klausel 9.2)
• Nachweise der Führungsprüfungen des ISMS (Klausel 9.3)
• Nachweise identifizierter Nichtkonformitäten und daraus resultierender Korrekturmaßnahmen (Klausel 10.1)

Definition des ISMS-Geltungsbereichs

Eines der Hauptanforderungen für die Implementierung von ISO 27001 ist die Definition des Geltungsbereichs des ISMS. Um dies zu tun, müssen Sie die folgenden Schritte unternehmen:

1. Erfassen Sie alle Informationen, die Sie in jeglicher Form speichern, physisch oder digital, lokal oder in der Cloud.
2. Ermitteln Sie die verschiedenen Wege, auf denen Personen auf Informationen zugreifen können.
3. Bestimmen Sie, welche Daten für Ihr ISMS relevant sind und welche nicht. Zum Beispiel wären Informationen, über die Ihre Organisation keine Kontrolle hat, nicht relevant für Ihr ISMS.

Zertifizierungsprozess

Der Zertifizierungsprozess für ISO 27001 umfasst die folgenden Schritte:

1. Entwickeln Sie ein ISMS, das Richtlinien, Verfahren, Personen und Technologie umfasst.
2. Führen Sie eine interne Überprüfung durch, um Nichtkonformitäten und Korrekturmaßnahmen zu identifizieren.
3. Laden Sie Auditoren ein, eine grundlegende Überprüfung des ISMS durchzuführen.
4. Beheben Sie die Probleme, die die Prüfer feststellen.
5. Lassen Sie von einer akkreditierten Zertifizierungsstelle ein eingehendes Audit der ISO 27001-Komponenten durchführen, um zu überprüfen, ob Sie die Richtlinien und Verfahren befolgt haben.

Die Zertifizierung kann drei bis zwölf Monate dauern. Um die Wirtschaftlichkeit des Zertifizierungsprozesses zu verbessern, führen viele Organisationen eine vorläufige Lückenanalyse gegenüber dem Standard durch, um eine Vorstellung vom Aufwand zu bekommen, der notwendig ist, um erforderliche Änderungen umzusetzen.

Kosten der Zertifizierung

Die Kosten für die Zertifizierung hängen von vielen Variablen ab, daher wird jedes Unternehmen ein unterschiedliches Budget haben. Die Hauptkosten beziehen sich auf Schulung und Literatur, externe Unterstützung, zu aktualisierende oder zu implementierende Technologien, Zeit und Aufwand der Mitarbeiter sowie auf das Zertifizierungsaudit selbst.

Dauer der Zertifizierung

Sobald Sie die Zertifizierung erlangt haben, sollten Sie regelmäßige interne Audits durchführen. Die Zertifizierungsstelle führt mindestens jährlich erneute Audits durch und wird dabei Folgendes überprüfen:

• Abschluss aller Nichtübereinstimmungen vom letzten Besuch
• Betrieb des ISMS
• Dokumentationsaktualisierungen
• Risikomanagement-Überprüfungen
• Korrekturmaßnahmen
• Überwachung und Messung der ISMS-Leistung

Tipps für das Erreichen und Aufrechterhalten der ISO 27001-Konformität

• Die Unterstützung der Stakeholder ist entscheidend für eine erfolgreiche Zertifizierung. Engagement, Anleitung und Ressourcen von allen Stakeholdern sind erforderlich, um notwendige Änderungen zu identifizieren, Prioritäten zu setzen und Abhilfemaßnahmen umzusetzen sowie eine regelmäßige Überprüfung und Verbesserung des ISMS sicherzustellen.
• Definieren Sie die Auswirkungen von ISO 27001 auf Ihre Organisation.Berücksichtigen Sie die Bedürfnisse und Anforderungen aller interessierten Parteien, einschließlich Regulierungsbehörden und Mitarbeiter. Betrachten Sie die internen und externen Faktoren, die Ihre Informationssicherheit beeinflussen.
• Verfassen Sie eine Anwendungserklärung. Die Erklärung legt dar, welche ISO 27001-Kontrollen für Ihre Organisation zutreffen.
• Führen Sie regelmäßig Risikobewertungen und -sanierungen durch. Erstellen Sie für jede Bewertung einen Risikobehandlungsplan, der im Detail beschreibt, ob jedes Risiko behandelt, toleriert, beendet oder übertragen wird.
• Bewerten Sie die Leistung des ISMS. Überwachen und messen Sie Ihr ISMS und die Kontrollen.
• Führen Sie Schulungs- und Bewusstseinsprogramme durch. Schulen Sie alle Mitarbeiter und Auftragnehmer in Ihren Sicherheitsprozessen und -verfahren und erhöhen Sie das Data Security-Bewusstsein in der gesamten Organisation.
• Führen Sie interne Audits durch. Decken Sie Probleme auf und beheben Sie diese, bevor externe Audits sie finden.

Wie Netwrix bei der Einhaltung von ISO 27001 hilft

Die Netwrix Data Security Platform hilft Ihnen dabei, die ISO 27001-Konformität zu erreichen und aufrechtzuerhalten, indem sie Ihnen ermöglicht:

• Entdecken und klassifizieren Sie Daten in Ihren lokalen und Cloud-basierten Repositories
• Identifizieren und priorisieren Sie die IT-bezogenen Risiken
• Überwachen Sie Systemanmeldeversuche, Dateizugriffe sowie Daten- und Konfigurationsänderungen auf ungewöhnliche Aktivitäten
• Identifizieren und untersuchen Sie Bedrohungsmuster
• Etablieren Sie eine starke Data Access Governance

Fazit

Da Datensicherheit heute wichtiger für den Erfolg ist als je zuvor, bietet die ISO 27001-Zertifizierung einen wertvollen Wettbewerbsvorteil. Indem Sie die Anforderungen und Kontrollen des Standards nutzen, können Sie Ihr Informationssicherheitsmanagementsystem einrichten und kontinuierlich verbessern und so Ihr Engagement für Datensicherheit gegenüber Partnern und Kunden gleichermaßen demonstrieren.

FAQ

1. Was ist der Zweck von ISO 27001?

Die ISO 27001-Norm wurde entwickelt, um Organisationen jeder Größe in jeder Branche dabei zu helfen, ihre Daten durch die effektive Nutzung eines Informationssicherheits-Managementsystems (ISMS) zu schützen.

2. Was ist die neueste ISO 27001 Norm?

Die neueste von ISO/IEC angebotene Version ist 27001:2013. Es gibt ein regionales EU-Update namens ISO/IEC 27001:2017.

3. Was sind die Anforderungen der ISO 27001?

ISO 27001 verlangt von Organisationen Folgendes:

• Verstehen Sie den organisatorischen Kontext
• Führen Sie Führungsqualitäten und Engagement für das ISMS vor und weisen Sie Rollen und Verantwortlichkeiten im Bereich Informationssicherheit zu
• Entwickeln Sie einen Plan zur Identifizierung, Analyse und Behandlung von Informationsrisiken
• Weisen Sie angemessene Ressourcen zu, um das ISMS zu unterstützen
• Führen Sie eine operative Risikobewertung und -behandlung durch
• Bewerten Sie die Leistung des ISMS
• Verbessern Sie das ISMS kontinuierlich

4. Warum ist ISO 27001 wichtig?

ISO 27001 schützt die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen innerhalb einer Organisation und wenn diese von Drittparteien geteilt werden.

5. Was ist der Unterschied zwischen ISO 27001 und ISO 27002?

ISO 27001 ist der zentrale Standard in der ISO 27000-Serie und enthält die Implementierungsanforderungen für ein ISMS. ISO 27002 ist ein ergänzender Standard, der die Informationen zur Sicherheitskontrolle detailliert beschreibt, die Organisationen umsetzen könnten, und erweitert die kurzen Beschreibungen im Anhang A von ISO 27001.

6. Was ist der Unterschied zwischen NIST und ISO 27001?

NIST ist eine US-amerikanische Normungsorganisation, die mit der ISO vergleichbar ist. NIST 800-53 ist stärker auf Sicherheitskontrollen ausgerichtet als ISO 27001, mit einer Vielzahl von Gruppen, die Best Practices im Zusammenhang mit föderalen Informationssystemen beitragen. ISO 27001 ist weniger technisch und mehr risikoorientiert und eignet sich für Organisationen aller Größen und in allen Sektoren.

7. Was ist der Unterschied zwischen SOX und ISO 27001?

ISO 27001 ist eine freiwillige internationale Norm zur Implementierung eines ISMS. SOX 404 ist ein US-Gesetz, dem alle öffentlich gehandelten Unternehmen in den USA folgen müssen.