In sechs Schritten ISMS-Leitlinie und -Richtlinien entwickeln Der Weg zur erfolgreichen ISO 27001-Zertifizierung

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Eine ISO-Zertifizierung hat nicht allein den Zweck, (internationalen) Normen zu entsprechen – sie kann auch neues Kundenpotenzial erschließen. Im Verlaufe des Zertifizierungs­prozesss gewinnt man außerdem Erfahrungen im Aufbau und der Pflege von Managementsystemen, die als Blaupause für ein unternehmensweites Risikomanagement genutzt werden können – über die Informationssicherheit hinaus.

1. Schritt: Bevor es losgeht

Bevor das Projekt ISO 27001 startet, gilt es einige Grundpfeiler zu setzen: Alle für die Informationssicherheit relevanten Prozesse sind zu definieren, angefangen vom Anwendungsbereich des Information Security Management Systems (ISMS) über die Klassifizierung von Informationen bis hin zum Umgang mit Vorfällen, die den Geschäftsbetrieb nachhaltig unterbrechen können. Ein Projektteam muss zusammengestellt und anschließend die Struktur der Projektdokumentation und Archivierung festgelegt werden. Außerdem sollte man Vorlagen für die im ISMS zu erstellenden Dokumente vorbereiten.

2. Schritt: Informationssicherheitsleitlinie – die Grundlage für ein erfolgreiches ISMS

Die Informationssicherheitsleitlinie stellt den Rahmen des ISMS dar. Dessen erfolgreiche Umsetzung und ein hohes Maß an Informationssicherheit sind nur möglich, wenn die Leitlinie korrekt erstellt und eingehalten wird. Dafür muss sie gewissen formalen Prinzipien folgen, um der Norm zu entsprechen, etwa eine Verpflichtung der Geschäftsführung zur kontinuierlichen Verbesserung des ISMS enthalten. Am besten, man beginnt frühzeitig mit ihrer Ausarbeitung. Zu beachten ist dabei:

• Das Führungsteam mit ins Boot holen

• Die einzelnen internen und externen Themen sowie interessierten Parteien und ihre Anforderungen in Bezug auf die Informationssicherheit herausarbeiten

• Die Management-Ziele beschreiben und daraus die Informationssicherheitsziele ableiten und festschreiben

• Grundlegende Regeln im Umgang mit Risiken definieren

• Die in der Leitlinie dokumentierte Selbstverpflichtung der Geschäftsführung zur kontinuierlichen Verbesserung einholen

3. Schritt: Anforderungen sammeln und strukturieren

Bei der Analyse der Anforderungen ist strukturiertes Vorgehen angeraten, denn hierbei müssen sämtliche Normkapitel der ISO 27001 und des Anhangs A durchgearbeitet werden. Oft treten dabei auch neue Anforderungen auf, die zu berücksichtigen sind. Für Anhang A heißt das: 114 nach Themenbereichen (so genannten Maßnahmenzielen) sortierte einzelne Maßnahmen (Control Statements) sind durchzuarbeiten. Es muss entschieden sowie dokumentiert werden, welche von ihnen relevant sind.

Im Resultat erhält man eine erste Arbeitsversion der so genannten „Erklärung zur Anwendbarkeit“ (engl. Statement of applicability oder kurz „SOA“). Sie ist ein Pflichtdokument und stellt darüber hinaus eine hervorragende Grundlage zur Steuerung und Fortschrittsdokumentation der Aktivitäten dar. Die Gruppieren der Anforderungen bildet im nächsten Schritt dann das Gerüst für die zu erstellenden Richtliniendokumente.

4. Schritt: Erstellung der Richtlinien

Die Richtlinien sollten in enger Abstimmung mit IT-Administration, Personalabteilung, Softwareentwicklung und den Fachabteilungen „bottom up“ erstellt werden, Lücken im Dialog mit der Geschäftsführung und den Fachabteilungen sind dabei zu schließen. Auf diese Weise ist sichergestellt, dass alle Beschäftigten rechtzeitig informiert und mit im Boot sind. Und das ISMS-Team erhält so einen guten Überblick darüber, welche Richtlinien bereits in Übereinstimmung mit der Norm funktionieren.

5. Schritt: Kritik und Anregung nutzen

Da einzelnen Richtlinien werden in der Regel nicht gleichzeitig, sondern nach und nach verabschiedet. Daher sollte das ISMS-Team alle Involvierten regelmäßig über den Projektstatus auf dem letzten Stand halten. Mit der Veröffentlichung der ersten Dokumente äußert sich regelmäßig auch erste Kritik, sei es wegen Unzufriedenheit mit einzelnen Prozessen oder weil tatsächliche Widersprüche aufgedeckt wurden. Diese Kritik sollte man aufnehmen, priorisieren und für den weiteren Verbesserungsprozess nutzen

Auch das ISMS-Team selbst wird beim Erstellen von Richtlinien immer wieder auf Redundanzen oder Widersprüchlichkeiten mit anderen Richtlinien stoßen. Hier hilft ein gut gepflegtes SOA-Dokument, um den Überblick zu behalten und es gar nicht so weit kommen zu lassen.

6. Schritt: Vorbereitung auf den Audit

Ob vor dem Erstzertifizierungsaudit ein interner Audit über das gesamte ISMS stattfinden, darüber herrschen geteilte Meinungen. Zumindest sollte man zunächst einen neutralen Auditor auf das ISMS schauen lassen, um zertifizierungsverhindernde „Hauptabweichungen“ gar nicht erst entstehen zu lassen. Zutage treten können dabei zum Beispiel das Nichterfüllen einer oder mehrerer Normenforderungen für das Managementsystem oder ein Sachverhalt, der erheblichen Zweifel an der Fähigkeit des Managementsystems aufkommen lässt (etwa ein nicht umgesetztes Risiko-Management).

Die definierten Prozesse sollten vor dem Zertifizierungsaudit außerdem bereits eine Weile gelebt worden sein und ihre Ergebnisse sollten dokumentiert sein. Das zeigt dem Auditor, dass das ISMS im Unternehmen verstanden und umgesetzt wird. Vor der ersten Rezertifizierung wäre dann sicherzustellen, dass die Ergebnisse des ersten Audits sowie ggf. neue Risiken, Vorfälle und Verbesserungspotentiale identifiziert und entsprechende Maßnahmen eingeleitet wurden. Wichtig ist, dass herauskommt: Wir sind nach der Erstzerfizierung mit unserem Optimierungsvorhaben weitergekommen!

Fazit

Wer eine ISO 27001-Zertifizierung erfolgreich absolviert hat, gelangt damit automatisch ins Blickfeld neuer Kunden. Denn es gibt sicherheitssensible Unternehmen, die Aufträge nur an solche Dienstleister vergeben, deren Geschäftsprozesse nachweislich höchsten Standards an die Informationssicherheit entsprechen. So wirkt sich das Zertifikat dann auch noch direkt positiv auf das eigene Geschäft aus. Zu einer erfolgreichen ISO 27001-Zertifizierung kommt man, wenn man schrittweise und geplant vorgeht.

Über den Autor: Sebastian Welke ist Senior Consultant bei der handz.on GmbH.

(ID:49667201)