Definition ISO 27001

Was ist ISO 27001?

| Autor / Redakteur: Stefan Luber / Peter Schmitz

Die ISO 27001 Norm bietet einen systematisch strukturierten Ansatz für Informationssicherheit im Unternehmen.
Die ISO 27001 Norm bietet einen systematisch strukturierten Ansatz für Informationssicherheit im Unternehmen. (Bild: Pixabay / CC0)

ISO 27001 ist eine internationale Norm für Informationssicherheit in privaten, öffentlichen oder gemeinnützigen Organisationen. Sie beschreibt die Anforderungen für das Einrichten, Realisieren, Betreiben und Optimieren eines dokumentierten Informationssicherheits-Managementsystems.

Bei der DIN ISO/IEC 27001, kurz ISO 27001, handelt es sich um eine internationale Norm, mit deren Hilfe die Informationssicherheit in Organisationen wie Unternehmen, Non-Profitorganisationen oder öffentlichen Institutionen gewährleistet werden soll. Basis der Norm bildet die Beschreibung der Anforderungen zur Implementierung und zum Betrieb eines Informationssicherheits-Managementsystems (ISMS). Das System ist an die Gegebenheiten der jeweiligen Organisation angepasst und berücksichtigt individuelle Besonderheiten.

Neben dem Informationssicherheits-Managementsystem beschäftigt sich ISO 27001 mit der Analyse und der Behandlung von Risiken der Informationssicherheit. Im Rahmen der beschriebenen Anforderungen werden die Werte und Wertschöpfungsketten durch die Auswahl der geeigneten Sicherheitsmechanismen geschützt. Für Unternehmen bietet ISO 27001 einen systematisch strukturierten Ansatz, die Integrität der betrieblichen Daten und deren Vertraulichkeit zu schützen. Gleichzeitig sorgt sie für die Sicherstellung der Verfügbarkeit der an den Unternehmensprozessen beteiligten IT-Systeme.

Die Norm ist Teil der Normenfamilie ISO/IEC 2700x und wurde von der Internationalen Organisation für Standardisierung (ISO) veröffentlicht. Es existieren inzwischen mehrere Revisionen von ISO 27001. Die erste Revision entstand 2005, die aktuellste Ausgabe stammt aus dem Jahr 2015. ISO 27001 ist auch als DIN-Norm DIN ISO/IEC 27001 bekannt. Organisationen können sich nach ISO 27001 zertifizieren lassen und dadurch die Umsetzung und Einhaltung der geltenden Normen zur Informationssicherheit dokumentieren. ISO 27001 hat sich weltweit als Standard etabliert und ist eine der bekanntesten Normen für Informationssicherheit. Zahlreiche Unternehmen sind nach ISO 27001 zertifiziert.

Vorteile einer Zertifizierung nach ISO 27001

Um sich nach ISO 27001 zertifizieren zu lassen, müssen Organisationen Ressourcen bereitstellen und Investitionen tätigen. Trotz diese Aufwands bietet eine Zertifizierung zahlreiche Vorteile und einen nachweisbaren Nutzen. Vorteile der Zertifizierung können unter anderem folgende sein:

  • Minimierung von Haftungsrisiken
  • Minimierung von Geschäftsrisiken
  • Senkung von Versicherungsprämien
  • Optimierung von Prozess- und IT-Kosten
  • Steigerung der Wettbewerbsfähigkeit
  • Schaffung von Vertrauen bei Kunden, Geschäftspartnern und in der Öffentlichkeit
  • Bedrohungen im Unternehmen zuverlässig erkennen und reduzieren
  • Schutz von vertraulichen Daten vor Missbrauch, Verlust und Offenlegung

Mit der Zertifizierung erbringt die Organisation den dokumentierten Nachweis, dass die Anforderungen der Informationssicherheit eingehalten und die Maßnahmen zum Schutz von Daten umgesetzt sind. Kunden und Geschäftspartner erhalten dank der Zertifizierung einen vertrauenswürdigen Beleg dafür, dass eine ausreichende IT-Sicherheit gewährleistet werden kann. Das Unternehmen führt eine kontinuierliche Eigenkontrolle durch und optimiert ständig die IT-Prozesse im Hinblick auf die Informationssicherheit. Da ISO 27001 einen ganzheitlichen Ansatz verfolgt, ist die Berücksichtigung der Norm in der Organisation über alle Hierarchieebenen hinweg sichergestellt. Sie hilft damit auch die zentralen Anforderungen von Wirtschaftsprüfern und diverse Regelungen wie Basel II zu erfüllen.

Anforderungen für eine Zertifizierung

Zentrale Forderung der Norm ISO 27001 und Grundvoraussetzung für eine Zertifizierung ist die Einführung des Informationssicherheits-Management-Systems, kurz ISMS. In einem weiteren Schritt sind die Werte der Organisation zu klassifizieren und zu dokumentieren. Mögliche durch die IT oder mangelnde Informationssicherheit entstehende Risiken sind zu benennen, zu bewerten und zu überwachen. Hierbei hat die Organisation für eine Zertifizierung ein erfolgreiches Zusammenspiel der Grundwerte der Informationssicherheit Vertraulichkeit, Integrität und Verfügbarkeit nachzuweisen. In regelmäßig durchzuführenden Management Reviews ist die Führung über die offen gelegten Risiken zu unterrichten. Für die Umsetzung all dieser Anforderungen ist fachkundiges Personal innerhalb der Organisation und eventuell externe Unterstützung nötig.

Durchführung der Zertifizierung

Erster Schritt für eine Zertifizierung ist die Entscheidung der Organisation, welche Art der Zertifizierung gewünscht ist. Grundsätzlich ist es möglich, direkt nach ISO 27001 zu zertifizieren oder eine "ISO 27001-Zertifizierung auf Basis IT-Grundschutz" durchzuführen. Die zweite Möglichkeit ist etwas aufwendiger, da Maßnahmen des BSI-Grundschutzkataloges zu erfüllen sind. Aufgrund des größeren Umfangs ist diese Zertifizierung aussagekräftiger. Die Zertifizierung selbst führt ein unabhängiger und zertifizierter Auditor in einem genau festgelegten Prozess durch. Für die Erteilung des Zertifikats ist eine definierte Erfüllungsquote aller Anforderungen und Maßnahmen zu erreichen. Zertifikate sind meist drei Jahre gültig. In der Regel erfolgt ein jährlicher Überwachungsaudit zur Bestätigung des Zertifikats.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Unternehmen haben IT-Sicherheit selbst in der Hand

Entlastung durch Schulungen und Outsourcing

Unternehmen haben IT-Sicherheit selbst in der Hand

IT-Abteilungen haben zunehmend Schwierig­keiten, die anfallende Arbeitslast in der IT-Sicherheit zu bewältigen und gleichzeitig mit den neuen Methoden der Angreifer Schritt zu halten. Unternehmen müssen ihre Mitarbeiter­innen und Mitarbeiter besser schulen, mehr auf zertifizierte Systeme setzen und sich Hilfe von außen holen, um sich vor Attacken künftig besser zu schützen. lesen

Was die BSI-Standards 200 für Unternehmen bedeuten

Mehr IT-Sicherheit durch Standards

Was die BSI-Standards 200 für Unternehmen bedeuten

Das Bundesamt für Sicherheit in der Infor­ma­ti­ons­technik (BSI) will mit der Weiterent­wicklung des BSI 200-Standards als Teil des IT-Grundschutzes Unternehmen dabei helfen, einheitliche Vorgaben in der IT-Sicherheit zu befolgen. Unternehmen, die ihre IT-Sicherheit nachhaltig verbessern wollen, sollten sich zeitnah mit den Anforderungen der aktu­alisierten BSI-Standards auseinandersetzen. lesen

Was ist ISO 27002?

Definition ISO 27002

Was ist ISO 27002?

ISO 27002 ist eine internationale Norm und stellt einen Leitfaden für das Informationssicherheits-Management zur Verfügung. Die Norm ist Teil der Teil der ISO-27000-Normenreihe und liefert allgemeine Richtlinien und Empfehlungen für ein verbessertes Informationssicherheits-Management in Organisationen. Die aktuelle Version der Norm ist ISO/IEC 27002:2013 und besteht aus 14 verschiedenen Bereichen. lesen

Krankenhäuser haben ein Passwortproblem

BSI-KRITIS-Verordnung mit IAM umsetzen

Krankenhäuser haben ein Passwortproblem

Blackout im Krankenhaus – ausgelöst durch einen professionellen Hackerangriff. Vom veralteten Virenschutz bis zum unbedachten Umgang mit Nutzerrechten gibt es viele Risiken für die IT-Sicherheit. Krankenhäuser zählen zu den sogenannten Kritischen Infrastrukturen (KRITIS), die es besonders zu schützen gilt. Zwei Jahre hatten Verantwortliche Zeit, die erforderlichen Sicherheitsstandards nachzuweisen. Nach Ablauf dieser Frist zeigt sich: Es herrscht Nachholbedarf. lesen

Privilegien und Kontrolle für externe Mitarbeiter

Virtueller Wachmann filmt Externe

Privilegien und Kontrolle für externe Mitarbeiter

Bei der Zusammenarbeit über Unternehmensgrenzen hinweg gilt es, User mit erweiterten Privilegien und Zugriffsmöglichkeiten kontrolliert ins Netzwerk einzubinden. Mit „Privileged Access Management“ werden Zugriffe auf kritische Systeme und Daten sogar gefilmt. lesen

Erfolgreicher Start der IT-SECURITY Conference 2019

IT-SECURITY Management & Technology Conference 2019

Erfolgreicher Start der IT-SECURITY Conference 2019

Neue Technologien wie künstliche Intelligenz in Verbindung mit Internet-of-Things und 5G lassen eine ganz neue Cybercrime-Dimension entstehen. Wie Unternehmen sich gegen moderne Bedrohungen erfolgreich zur Wehr setzen, zeigen Security-Experten auf der IT-SECURITY Management & Technology Conference 2019 der Vogel IT-Akademie. lesen

Mehr Sichtbarkeit für Cloud-Umgebungen

IT-Security Management & Technology Conference 2019

Mehr Sichtbarkeit für Cloud-Umgebungen

Wie behält man den Überblick in Cloud-Umgebungen? Wie stellt man sicher, dass man alle Regularien erfüllt? Diesen Fragen geht Stefan Fritsche von Checkpoint in seinem Vortrag auf der IT-Security Management & Technology Conference 2019 nach. lesen

Systemüberwachung beim Automotive-Unternehmen FEV

Endpoint-Sicherheit mit Nexthink

Systemüberwachung beim Automotive-Unternehmen FEV

Proaktiv auf Herausforderungen reagieren zu können und die gesamte IT-Infrastruktur im Blick behalten – das wünschten sich die Verantwortlichen der FEV Gruppe. Der international anerkannte Dienstleister in der Fahrzeugentwicklung mit Hauptsitz in Aachen stand vor der großen Herausforderung, die rasant wachsende Anzahl an Clients und End Usern adäquat zu betreuen, zu warten und zu überblicken. lesen

Rettungsanker rechtzeitig vor dem Worst Case in Stellung bringen

Ganzheitliches KRITIS-Management, Korb 2

Rettungsanker rechtzeitig vor dem Worst Case in Stellung bringen

Die Zeit drängt für Unternehmen, die als Kritische Infrastrukturen (KRITIS) eingestuft sind. Bis zum 30. Juni muss ein Gesamtkonzept für das KRITIS-Management etabliert werden. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 44800615 / Definitionen)