Wie bringt man die Standards ISO 27001 und IT-Grundschutz unter einen Hut?

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Das Bindeglied

Zusammen mit der gedruckten Ausgabe der BSI-Kataloge wird eine CD mitgeliefert. Auf dieser befindet sich unter anderem eine gezippte Datei mit Formularen im Word-Format, die für die IT-Grundschutzerhebung genutzt werden.

Für jede Maßnahme eines Bausteins wird beispielsweise festgelegt, ob diese entbehrlich ist, wie groß der aktuelle Umsetzungsgrad ist und wie die Verantwortung verteilt ist. Aus diesen Tabellen lässt sich ein maßgeschneidertes Audit entwickeln. Die zu prüfenden Maßnahmen werden in eine Excel-Tabelle eingetragen und mit den für Audits benötigten Spalten wie Umsetzungsgrad oder Name des Interviewpartners ergänzt.

Für jeden Baustein gibt es eine solche Tabelle. Vor der Erstellung einer eigenen Kontrollliste für ein Audit muss allerdings noch festgelegt werden, welche der Maßnahmen aus dem Baustein in das Audit aufgenommen werden sollen. Für die Auswahl der in das Audit aufzunehmenden Maßnahmen dient die ISO-Norm.

Die richtige Vorgehensweise

Zunächst werden die im Anhang der ISO-Norm angegebenen Maßnahmen auf die eigenen Bedürfnisse angepasst. Das kann mit Papier und Bleistift geschehen, indem die abstrakten Formulierungen der Norm in Sinne des eigenen betrieblichen Alltags umgeschrieben werden. So wird beispielsweise die Maßnahme für die Telearbeit „Regelungen und Betriebsanweisungen für Telearbeit müssen entwickelt und implementiert werden“ durch die konkreten eigenen Regelungen und Anweisungen ergänzt.

In einem zweiten Schritt wird ermittelt, welche BSI-Maßnahmen in ihren Zielen mit diesen Regelungen und Anweisungen übereinstimmen oder sich zumindest ein großes Stück überdecken. Diese Arbeit ist der zeitaufwändigste Schritt bei der Vorbereitung des Audits, doch muss er in seinem vollen Umfang nur ein einziges Mal vorgenommen werden. Steht diese Liste, so muss für jeden Punkt angegeben werden, auf welche Weise er geprüft werden soll (Interview, Begehung, Review von Dokumenten etc.).

Der große Vorteil dieser Vorgehensweise liegt darin, dass zur Bearbeitung einzelner Maßnahmen auf das Expertenwissen der Grundschutzkataloge zurückgegriffen werden kann. Wenn nicht ganz klar ist, wie eine Maßnahme konkret geprüft werden soll, hilft ein Blick in die Grundschutzkataloge.

Dort können beispielsweise die vorgefertigten Kontrollfragen übernommen und in das Audit eingebaut werden. Auf diese Weise wird ein Audit vorbereitet, dass seine Struktur aus der ISO 27001, seine inhaltlichen Vorgaben aber aus den Grundschutzkatalogen erhält.

Inhalt

• Seite 1: ISO 27001 - kurz und knapp
• Seite 2: BSI IT-Grundschutz – Baukasten-Prinzip
• Seite 3: Das Bindeglied

(ID:2048553)