Tipps zur erfolgreichen Umsetzung der ISO 27001 Ein Leitfaden zur ISO 27001:2022

Anbieter zum Thema

FTAPI Software GmbH

Die ISO 27001 ist ein global anerkannter Standard für das Management von Informationssicherheit in Unternehmen. Ihr Zweck besteht darin, Organisationen dabei zu unterstützen, angemessene Sicherheitskontrollen und -maßnahmen zu etablieren, um Informationen vor Verlust, Diebstahl oder unbefugtem Zugriff zu schützen.

Die Norm ISO 27001 bildet das Grundgerüst für ein Informations­sicherheits­management­system (ISMS) und hilft dabei die Sicherheit im Unternehmen zu verbessern und auf einen einheitlichen Stand zu bringen.

Die ISO 27001 wurde erstmals 2005 veröffentlicht und hat sich seither zu einem Eckpfeiler im Bereich der Informationssicherheit entwickelt. Sie basiert auf bewährten Prinzipien des Risikomanagements und der kontinuierlichen Verbesserung. Ihr Ursprung liegt in der Notwendigkeit, den steigenden Bedrohungen für Unternehmensdaten und Informations­systeme wirksam zu begegnen. Die Norm wurde im Laufe der Zeit an die sich wandelnde Technologielandschaft und die neuen Gefahren angepasst.

Zeit für Datensicherheit

Das bringt die Neufassung der ISO 27001

ISO 27001:2022 modernisiert die ISO 27001:2013

Die Revision der ISO 27001:2022 bringt wesentliche Neuerungen, um den veränderten Anforderungen in der Informationssicherheit Rechnung zu tragen. Eine signifikante Änderung ist die Einführung zusätzlicher Steuerungsmaßnahmen und die Neustrukturierung des Anhangs A. Der Anhang A, der die Kontrollen für Informationssicherheitsmaßnahmen auflistet, wurde von 114 auf 93 Kontrollen reduziert und in vier Hauptthemen gegliedert: Organisatorische Kontrollen, Personenbezogene Kontrollen, Physische Kontrollen und Technologische Kontrollen. Diese Neugruppierung erleichtert das Verständnis und die Implementierung der Kontrollen.

Zudem wurden neue Themenbereiche wie Informationssicherheit in Projektmanagement, Bedrohungsinformationen und IT-Service-Management nach ISO/IEC 20000-1 eingeführt. Eine weitere signifikante Änderung betrifft die stärkere Betonung des Risikomanagements und des kontinuierlichen Verbesserungs­prozesses, um Organisationen dabei zu unterstützen, proaktiv auf sich ändernde Sicherheitsbedrohungen und -anforderungen zu reagieren. Diese Änderungen zielen darauf ab, die Relevanz und Effektivität des Standards in der dynamischen Welt der Informationssicherheit zu erhöhen.

ISO 27001:2013 vs. ISO 27001:2022

Die jüngste Modernisierung der ISO 27001, die Version von 2022, bringt bedeutende Änderungen mit sich. Die Struktur und der Aufbau wurden überarbeitet, um die Norm besser an aktuelle Anforderungen anzupassen. Neue Anforderungen, wie risikobasierte Ansätze, erweiterte Kontrollen und die Berücksichtigung des Kontexts der Organisation, wurden eingeführt. Diese Modernisierungen zielen darauf ab, Organisationen besser auf die aktuellen Bedrohungen und Herausforderungen im Bereich der Informationssicherheit vorzubereiten. Die Umsetzung der modernisierten ISO 27001 kann für Unternehmen herausfordernd sein. Sie erfordert Ressourcen, Schulung und Sensibilisierung der Mitarbeiter sowie eine sorgfältige Dokumentation. Die Anpassung an die neuen Anforderungen erfordert ein gründliches Verständnis der Norm und die Bereitschaft zur kontinuierlichen Verbesserung.

Die Neuerungen der ISO 27001:2022 fokussieren sich darüber hinaus auch auf moderne Angriffsmethoden wie Phishing und berücksichtigen dabei auch Sicherheitsfunktionen wie Multifaktor-Authentifizierung (MFA).

Tipps zur erfolgreichen Umsetzung

Für eine erfolgreiche Umsetzung der modernisierten ISO 27001 ist eine strukturierte Vorgehensweise entscheidend. Das beinhaltet eine gründliche Risikobewertung und -management sowie die Einbindung des Informationssicherheitsmanagements in die unternehmensweiten Prozesse. Seit knapp 20 Jahren ist die ISO 27001 einer der wichtigsten Standards für die Zertifizierung von sicheren Rechenzentren. Die Neue Version ISO 27001:2022 modernisiert die Prozesse und geht auch auf die Belange von modernen Betriebssystemen wie Windows 10/11 und Windows Server 2019/2022 sowie modernen Linux-Versionen ein. Unternehmen, die für ISO 27001 zertifiziert sind, sollten sich mit der modernisierten Version ebenfalls zertifizieren, um ihre Sicherheits-Infrastruktur auf den neusten Stand zu bringen.

Die Harmonized Structure“ (HS) bringt Struktur in Prozesse im Bereich der Security

Die Harmonized Structure“ (HS) in der ISO 27001 integriert eine harmonisierte Struktur, bisher bekannt als High Level Structure (HLS). Diese Struktur ermöglicht die Integration mit anderen Managementstandards, wie ISO 9001 oder ISO 14001, und gewährleistet eine konsistente und vereinheitlichte Herangehensweise in Organisationen. Die HLS besteht aus verschiedenen Abschnitten, beginnend mit dem Anwendungsbereich, gefolgt von normativen Verweisen, Begriffen und Definitionen. Wesentlich sind die Abschnitte über den Kontext der Organisation, die Führung und das Engagement der obersten Leitung, Planung, Unterstützung, Betrieb, Leistungsbewertung und kontinuierliche Verbesserung.

Durch diese Struktur werden systematische Prozesse und ein risikobasiertes Denken gefördert, was die Effizienz des ISMS steigert und gleichzeitig eine Anpassung an s Mit der ISO 27001:2022 wurden auch die Anforderungen an die „Harmonized Structure“ (HS) formuliert. Die Prozess­orientierung ist im Fokus eines ISMS. Damit ein Sicherheitssystem wirksam ist, müssen Prozesse definiert und deren Wechselwirkungen festgelegt sein. Dazu kommen Kriterien für die Steuerung dieser Prozesse. Die HS soll dabei helfen eine einheitliche Struktur zu schaffen, nach der sich ISMS planen und umsetzen lassen.

Die Harmonized Structure (HS) geht im Grunde genommen aus der bisherigen „High Level Structure“ (HLS) hervor. Im Grunde genommen ändert sich vor allem der Aufbau. Nach der ISO 27001:2022 sollen in Zukunft Änderungen an der Infrastruktur geplanter ablaufen. Das ist vor allem für Unternehmen wichtig, die sich erneut zertifizieren. Die Prozessorientierung auf Basis der HS gehört zu den wichtigsten Neuerungen der neuen ISO 27001:2022.

ISO/IEC 27001:2022 bringt Neuerungen bei Prozessen und deren Wechselwirkungen

Im Rahmen der Neuzertifizierung ändert sich auch das ISMS. Dabei spielen die Neuerungen aus Abschnitt 4.4 der ISO 27001 eine Rolle. Diese legen fest, dass die Prozesse und deren Wechsel­wirkungen dokumentiert sein müssen, die für den Betrieb des ISMS benötigt werden. Hier ist festgelegt, dass alle Prozesse, auf die ein ISMS aufbaut nachvollziehbar und dokumentiert sein müssen. Wichtige Maßnahmen für die Absicherung sind im Anhang A der ISO 27001:2022 aufgelistet.

Genauer ist im Abschnitt 8.1 definiert, dass Unternehmen Prozesse im Bereich der Sicherheit planen und sich an die Planung halten müssen. Dabei spielen auch die Kriterien dieser Prozesse eine wesentliche Rolle. Ebenfalls neu ist das Festlegen von Verantwortlichkeiten im Unternehmen (Abschnitt 5.3) und auch das Festschreiben der Kommunikation zwischen Verantwortlichen und der Ablauf bei Sicherheitsvorfällen (Abschnitt 9.2 und Abschnitt 9.3).

Das sind die neuen Maßnahmen des Anhang A von ISO 27001:2022

Im Anhang der 27001:2022 sind die Neuerungen integriert, die bisher in der ISO 27002:2022 enthalten waren. Diese bestehen aus 4 Abschnitten und 93 Maßnahmen:

• Organisatorische Maßnahmen (Organizational Controls) - 37 Maßnahmen

• Personenbezogene Maßnahmen (People Controls) - 8 Maßnahmen

• Physische Maßnahmen (Physical Controls) -14 Maßnahmen

• Technische Maßnahmen (Technological Controls) - 34 Maßnahmen

Die 11 neuen Maßnahmen sind in den Abschnitten A.5.7, A.5.23, A.5.30, A.7.4, A.8.9, A.8.10, A.8.11, A.8.12, A.8.16, A.8.22/23 und A.8.28 aufgelistet. In der Tabelle unten haben wir die Maßnahmen aufgelistet. Die verschiedenen Maßnahmen umfassen wiederum verschiedene Attribute. Die Attribute können wiederum Attributwerte annehmen. Die Attribute sind:

• 1. Wann und wie hat eine Maßnahme das Risiko bezüglich der Sicherheit verändert?

• 2. Welches Ziel soll mit einer Maßnahme erreicht werden?

• 3. Betrachtung der Maßnahmen bezüglich des Sicherheitsframeworks

• 4. Perspektive aus Sicht der Anwender für die Informationssicherheit

• 5. Maßnahmen aus der Sicht von verschiedenen Informationssicherheitsdomänen

(ID:49910857)