Firmen- und Personenzertifizierungen im Bereich IT-Sicherheit

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Onapsis Europe GmbH

Personen zertifizieren lassen

Im Gegensatz zu einer Unternehmenszertifizierung sind Personenzertifizierungen an eine natürliche Person gebunden. Warum aber sollte man sich überhaupt als Person einer in der Regel sehr arbeits- und häufig auch kostenintensiven Zertifizierung stellen? Hier ist zu unterscheiden, ob man als Person selbst Unternehmen auditieren möchte oder eine Zertifizierung nach einem anerkannten Qualitäts- und Weiterbildungsstandard anstrebt.

Mit letzteren können sich potentielle Kunden oder zukünftige Arbeitgeber sehr schnell ein Bild von dem Wissen in den abgelegten Bereichen machen. Vielfach erübrigt sich damit eine Diskussion über die vorhandenen Fachkenntnisse. Möchte man hingegen als externer Auditor tätig werden, ist eine Zertifizierung sogar Voraussetzung.

Handelt es sich bei der abgelegten Zertifizierung um einen international anerkannten Nachweis, so kann dieser sogar die internationale Zusammenarbeit vereinfachen. Schließlich sprechen in diesem Fall alle Beteiligten dieselbe „Fachsprache“.

Anerkannter Standard oder Hersteller-Zertifizierung?

Grundsätzlich sollte man wissen und verstehen, welche Alternativen der Markt für Zertifizierungen bietet. Zum einen gibt es Hersteller-gebundene Zertifizierungen, zum anderen anerkannte Qualitäts- und Weiterbildungsstandards, die auch als „produktunabhängige Zertifizierungen“ bezeichnet werden.

Ein Anbieter eigener Zertifizierungen ist beispielsweise die Firma Cisco. Diese stellt einen Nachweis darüber aus, dass man sich mit einem spezifischen Sicherheitsprodukt auseinandergesetzt hat und das notwendige Fachwissen vorhanden ist. Allerdings werden bei diesen Prüfungen sehr häufig auch allgemeingültige Standards abgefragt, da kein Produkt ohne sie auskommt.

Bei produktunabhängigen Zertifizierungen werden allgemeingültige sicherheitsrelevante Kenntnisse abgefragt und bescheinigt, wie beispielsweise im Falle der CISSP-Zertifizierung (Certified Information Systems Security Professional) durch das International Information Systems Security Certification Consortium, kurz: (ISC)² (siehe dazu Bild 2 der Bildergalerie).

Auditoren-Zertifizierungen

Unternehmen, die eine Zertifizierung anstreben, müssen einem Auditor gegenüber den Nachweis erbringen, dass sie die definierten Anforderungen auch erbringen. Ein Auditor, der ein Audit durchführt ermittelt durch Befragen, Beobachten, Zuhören und Dokumentenprüfung, wie eine Person oder ein Unternehmen sich entwickelt und ob Vorgaben eingehalten werden.

Ein BSI-zertifizierter „ISO 27001/Grundschutz“-Auditor beispielsweise ist ein vom Bundesamt für Sicherheit in der Informationstechnik akkreditierter Auditor. Mit dieser Personenzertifizierung dürfen Unternehmensaudits zur Vergabe eines ISO 27001 Zertifikats auf Basis von IT Grundschutz durchgeführt werden. In diesem Fall handelt der Auditor als externer Auditor im Auftrag einer Zertifizierungsgesellschaft.

Interne Auditoren führen im Auftrag der Geschäftsleitung System- und Prozessaudits durch. Bei zertifizierten Unternehmen sind derartige Audits zwischen den externen Zertifizierungsaudits beispielsweise verpflichtend. Das dafür notwendige Wissen kann ebenfalls durch Erlangung verschiedener Auditoren-Zertifizierungen nachgewiesen werden. Zu den bekanntesten zählt hier der Certified Information Systems Auditor (CISA).

Fazit

Mit den steigenden Möglichkeiten der Informationstechnologie sind auch die Risiken erheblich gewachsen. So werden beispielsweise immer sensiblere Daten der Informationstechnik anvertraut. Diesen Risiken kann nur durch hinreichende Sicherheitsfunktionen begegnet werden. Sicherheitsmaßnahmen allein genügen heute in vielen Bereichen nicht mehr.

Wichtig und heute vielfach wettbewerbsentscheidend ist, dass die Nutzer Vertrauen in die Informationstechnik haben. Das gilt insbesondere für die Sicherheit von Daten. Eine Möglichkeit, um Transparenz hinsichtlich der Sicherheitseigenschaften von IT-Systemen und -Produkten zu schaffen, ist die Prüfung und Bewertung nach einheitlichen Kriterien durch unabhängige und anerkannte Prüfstellen bzw. die Bestätigung durch ein Zertifikat.

(ID:2052904)