ISO 27001 – International anerkannte ISMS-Zertifizierung

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Welche Nachweise sind erforderlich?

Der ISO Standard 27001 spezifiziert die Anforderungen für die Konzipierung und Einführung sowie für den Betrieb, die Überwachung und die Verbesserung eines dokumentierten Informationssicherheits-Managementsystems unter Berücksichtigung der organisationsweiten Risiken.

Kernpunkt der ISO 27001 ist das Verständnis von Informationssicherheit als geplanter, gelebter, überwachter und sich kontinuierlich verbessernder Prozess. Dem zugrunde liegt das „Plan-Do-Check-Act“ Modell, auch bekannt unter den Namen PDCA-Modell oder Deming-Cycle.

Grundsätzlich gilt es nachzuweisen, dass ein solcher Prozess implementiert wurde und nachhaltig im Unternehmen gelebt wird. Hierbei ist hervorzuheben, dass die Norm nicht die IT im Fokus hat, sondern die Informationssicherheit in den Geschäftsprozessen eines Unternehmens adressiert. Die Überprüfung umfasst sowohl eine Dokumentenprüfung, als auch eine Umsetzungsprüfung der erforderlichen IT-Sicherheitsmaßnahmen vor Ort. Als Nachweise fordert der Standard eine umfassende Dokumentation der Ergebnisse aus den vier Phasen des PDCA-Modells.

Von größter Bedeutung sind in diesem Zusammenhang eine Beschreibung von Inhalt und Umfang des ISMS sowie das Vorgehen und die Ergebnisse des Risikomanagements. Hierbei ist darauf zu achten, dass die Dokumente geordnet abgelegt werden, Änderungen kontrolliert erfolgen und zeitnah den betroffenen Personen kommuniziert werden.

Zusätzlich ist die Umsetzung der Maßnahmen und Kontrollen aus dem Anhang A des Standards zu dokumentieren. Dabei handelt es sich um Ziele für die elf folgenden thematische Bereiche:

1. Information Security Policy – Richtlinien zur Informationssicherheit

2. Organising Information Security – Organisatorische Sicherheitsmaßnahmen und Managementprozess

3. Asset Management – Verwaltung von Informationswerten

4. Human Resources Security – Personelle Sicherheit

5. Physical and Environmental Security – Physische Sicherheit

6. Communications and Operations Management – Netzwerk- und Betriebssicherheit

7. Access Control – Zugriffskontrolle

8. Information Systems Acquisition, Development and Maintenance – Systementwicklung und Wartung

9. Information Security Incident Management – Umgang mit Sicherheitsvorfällen

10. Business Continuity Management – Notfallmanagement

11. Compliance – Einhaltung rechtlicher und interner Vorgaben

Inhalt

• Seite 1: Vorteile der Zertifizierung nach ISO 27001
• Seite 2: Wer führt die Zertifizierung durch?
• Seite 3: Welche Nachweise sind erforderlich?
• Seite 4: Handlungsempfehlungen und Re-Zertifizierung

(ID:2053168)