System für Informationssicherheit mit Hilfe von ISO 27001

Das Thema „Informationssicherheit“ wird für Unternehmen im Zuge der digitalen Transformation immer wichtiger. Ohne adäquate Sicherheitsmaßnahmen besteht die Gefahr von Datenverlust und -diebstahl durch Hacker, von Betriebsstörungen durch webbasierte Angriffe oder von Datenmissbrauch. Eine Alternative für einen strukturierten Ansatz ist ein Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001.

Was ist ISO 27001?

ISO/IEC 27001 ist der führende internationale Standard für die Implementierung eines ganzheitlichen Informationssicherheits-Managementsystems. Sie konzentriert sich auf die Identifizierung, Bewertung und das Management von Risiken für Informationsmanagementprozesse. Die Sicherheit vertraulicher Informationen wird als wichtiger strategischer Faktor hervorgehoben. Informationen umgeben uns überall und sind Teil eines jeden Prozesses. Manchmal mögen sie trivial sein, aber allzu oft sind sie kritisch und vertraulich. Um diese für Ihr Unternehmen wichtige Unterscheidung treffen zu können, ist es notwendig, die Informationen zu klassifizieren. Denn die Schutzmaßnahmen in einem Information Security Management System (ISMS) nach ISO/IEC 27001 basieren auf dieser Klassifizierung. Ein ISMS schafft einen Rahmen, um Geschäftsdaten und deren Vertraulichkeit zu schützen. Gleichzeitig stellt der weltweit anerkannte Standard die Verfügbarkeit der an den Unternehmensprozessen beteiligten IT-Systeme sicher. In diesem Zusammenhang sendet die ISO 27001-Zertifizierung ein starkes Signal an den Markt: nämlich eine unabhängige externe Bewertung und Bestätigung der Wirksamkeit Ihres ISMS. Mit der EN ISO/IEC 27001:2017-06 ist eine vom Europäischen Komitee für Normung (CEN) koordinierte Version veröffentlicht worden. Sie vereint die beiden Korrekturen (Corrigenda) Cor 1:2014 und Cor 2:2015. Die mit der Korrektur verbundenen Änderungen betreffen nur eine verbesserte Beschreibung der zugehörigen Anforderungen, aber keine neuen zusätzlichen Anforderungen. Zertifikate nach der Version ISO/IEC 27001:2013 behalten somit ihre Gültigkeit.

Für wen ist eine ISO 27001-Zertifizierung geeignet?

Die ISMS-Norm ISO 27001 gilt weltweit. Sie bietet Unternehmen aller Größen und Branchen einen Rahmen für die Planung, Umsetzung und Überwachung ihrer Informationssicherheit. Die Anforderungen sind sowohl für private und öffentliche Unternehmen als auch für Non-Profit-Organisationen anwendbar und verbindlich. In Deutschland müssen zum Beispiel Unternehmen, die zu einem kritischen Infrastruktursektor (KRITIS) gehören und einen Schwellenwert überschreiten, nachweisen, wie sie ihre Informationssicherheit gewährleisten. Zu den KRITIS-Sektoren gehören Energie, Wasser, Gesundheit, Finanzen und Versicherungen, Lebensmittel, Transport und Verkehr, Informationstechnologie und Telekommunikation. Entsprechende Nachweise der Umsetzung können durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erbracht werden. Dabei können entweder anerkannte Standards wie ISO 27001 oder alternativ vom Bundesamt für Sicherheit in der Informationstechnik (BSI) anerkannte branchenspezifische Sicherheitsstandards als Grundlage für das Audit herangezogen werden.

Was macht die Norm ISO 27001 für mein Unternehmen sinnvoll?

Die Einführung eines ISMS nach ISO/IEC 27001 ist eine strategische Entscheidung für Ihr Unternehmen. Die Einhaltung der beabsichtigten allgemeinen Anforderungen der Norm muss die spezifische Situation des Unternehmens widerspiegeln. Die Umsetzung im Unternehmen ist abhängig von den Bedürfnissen und Zielen, den Sicherheitsanforderungen und den organisatorischen Abläufen sowie von der Größe und Struktur des Unternehmens. Besonders wertvoll für die Praxis ist die Umsetzung der Maßnahmen in Anhang A der Norm. Neben dem managementsystemorientierten Anforderungsteil (Kapitel 4-10) enthält die ISO-Norm im Anhang A in 14 Kapiteln eine umfangreiche Liste von 35 Kontrollzielen mit 114 konkreten Maßnahmen zu verschiedenen Sicherheitsaspekten. Diese Maßnahmen müssen als Teil des Managementsystems umgesetzt werden, soweit sie für Ihr Unternehmen relevant sind. Eine konsequente Ausrichtung der Unternehmensprozesse an der ISO 27001 bringt nachweislich mehrere Vorteile mit sich:

• Kontinuierliche Verbesserung des Sicherheitsniveaus.
• Reduktion bestehender Risiken.
• Einhaltung von Compliance-Anforderungen.
• Gesteigertes Bewusstsein bei den Mitarbeitern.
• Erhöhte Kundenzufriedenheit

Interne Audits und Management-Reviews unter Einbeziehung des Top-Managements sind die internen Hebel, um dies zu erreichen. Weitere positive Aspekte sind, dass Stakeholder wie Aufsichtsbehörden, Versicherungen, Banken und Partnerunternehmen mehr Vertrauen in Ihr Unternehmen aufbauen. Denn ein zertifiziertes Managementsystem signalisiert, dass Ihre Organisation Risiken strukturiert verwaltet und sich zu kontinuierlichen Verbesserungen (KVP) verpflichtet, wodurch sie widerstandsfähiger gegen unerwünschte Auswirkungen wird. Die internationale Norm ISO/IEC 27001 kann auch unabhängig von anderen Managementsystemen wie ISO 9001 (Qualitätsmanagement) oder ISO 14001 (Umweltmanagement) eingeführt, betrieben und zertifiziert werden.