Nachweiserbringung im Kontext Informationssicherheit Ist ein Zertifikat nach ISO/IEC 27001 noch zeitgemäß?

Anbieter zum Thema

FTAPI Software GmbH

Organisationen sind - insbesondere bei Auslagerungen - gezwungen, regelmäßig Nachweise in Bezug auf die Sicherstellung von Maßnahmen im Kontext Informationssicherheit zu erbringen. Galt ein Zertifikat auf Basis der ISO/IEC 27001 in der Vergangenheit als Gradmesser, werden bereits heute weitaus tiefergehende Einblicke an- und eingefordert. Wie sieht ein Blick in die Zukunft gerichtet aus?

Drehen wir initial die Zeit einmal um einige Jahre zurück: Nahezu sämtliche IT wurde vollständig im eigenen Rechenzentrum betrieben. Perimeter, physische Zugangskontrollen und Systemzugänge waren beispielsweise im direkten Einfluss des Betreibers, der meist auch in der Rolle des Auftraggebers war. Auch Planung, Konzeptionierung und Architektur wurden primär intern, maximal unter partieller Zuhilfenahme externer Expertise bzw. IT, umgesetzt. Die Frage „Wer macht gerade was nach welchem Prozess, in welcher Qualität?“ konnte von Fach- und Führungskräften meist adhoc beantwortet werden. Generell war die IT recht statisch, die initial erstellte Schutzbedarfsanalyse konnte bei den jährlich folgenden Überprüfungen meist ohne Änderungen auf Basis der vorliegenden Inhalte „abgesegnet“ werden.

Die ISO/IEC 27000 Familie

In einer nächsten Stufe galt es, Maßnahmen im Kontext Informationssicherheit mit einem Managementsystem nach einem einheitlichen Standard umsetzbar und deren Umsetzung messbar zu gestalten – beispielsweise auf Basis einer Zertifizierung auf Basis des Annex A der ISO/IEC 27001. Das darunterliegende SoA (Statement of Applicability), bezogen auf die Kontrollen der individuellen Organisation, ermöglichte eine weitere (aber letztendlich letzte) Detaillierungsschicht. Die Normenreihe der ISO/IEC 27000 stellte einen Mindeststandard dar, dessen Inhalte für jede Organisation frei interpretiert und angewendet bzw. umgesetzt werden konnte. Ein, in dieser Zeit, guter Ansatz.

Bringt das Sicherheit?

Darüber hinaus war anhand der für alle Seiten einsehbaren Kontrollen bzw. des vorab definierten Auditscope allen Stakeholdern klar, was letztendlich und konkret inhaltlich in fest definierten Abständen auditiert wird. Gut war auch, die Rolle und Verantwortung des Top-Managements normativ einzufordern bzw. zu auditieren. Die Aufwände für diese Audits/Kontrollhandlungen war ebenfalls vorgegeben (Annex B1 der ISO/IEC 27006) und wurde zeitlich meist auf dieses Maximum eingegrenzt. Seitens des Auditors wurde zwar eine hohe Evidenzgüte gefordert, letztendlich bleibt aber festzustellen, dass eine punktuelle Abfrage („wie stellen Sie sicher, dass …“) lediglich eine Momentaufnahme darstellt und zu oft der Eindruck entstand, dass lediglich die Inhalte der schriftlich fixierten Ordnung geprüft wurden. Nicht nur Experten mit technischem Hintergrund sahen die Normenreihe eher kritisch und sprachen daher oft von „Dokumentensicherheit“.

Andere Zeiten – andere Anforderungen

Die Idee dieses Mindeststandards stößt in der heutigen Zeit an seine Grenzen. Die Gründe dafür sind vielschichtig: IT wird heute dezentral betrieben, die Dynamik ist immens: Sowohl die Taktung technologischer Neuerungen wie auch die organisatorischen Aspekte, z. B. die der accoutable role für einen Service oder einen Liefergegenstand. Immer stärker rückt, aus dieser internen Perspektive getrieben, die Sicherstellung der Lieferkette(n) in den Vordergrund. „Interne“ Services hängen von multiplen externen Faktoren, außerhalb des direkten Einflussbereiches, ab. Entsprechende Anforderungen, diese Faktoren aktiv zu managen, sind bereits heute gefordert aber insbesondere auch zentrale Bestandteile regulatorischer Anforderungen (z. B. DORA, Kapitel V / NIS2 (83)) die, nach aktuellem Stand, in den kommenden 12 Monaten zur Anwendung kommen werden und deren Anwendungsbereich nach Schätzung von Experten ca. 30.000 Organisationen in Deutschland umfasst. „IKT-Drittanbieter“ und das einhergehende „IKT-Drittparteienrisiko“ müssen also nachweislich und tiefgründiger bewertet bzw. nachgewiesen werden.

Wirksamkeit der Kontrollen

Was bedeutet das im Kontext Informationssicherheit? Einerseits werden Organisationen auf Basis der o. g. regulatorischen Anforderungen gefordert sein, entsprechende Nachweise ihrer Lieferanten und Sublieferanten einzufordern. Andererseits ist (nahezu) jede Organisation Teil einer Lieferkette und somit womöglich bereits heute in der Pflicht der Nachweiserbringung vice versa. Diese Organisationen müssen daher ein berechtigtes Interesse daran haben, dass die beschriebenen Inhalte der schriftlich fixierten Ordnung tatsächlich zur Anwendung kommen – und zwar nicht nur zeitlich betrachtet punktuell, sondern ganzheitlich. Dazu gehört insbesondere die Bewertung der Wirksamkeit von Kontrollen, beispielsweise auf Basis einer Wirksamkeits- bzw. Zeitraumprüfung (Service-Operation-Controls – Typ 2, kurz SOC2) unter Anwendung des Standards ISAE 3000. Zur Nachweiserbringung im Bereich „Security Incident Management“ werden dazu beispielsweise auf Basis der ermittelten Grundgesamtheit im Prüfungszeitraum, Stichproben gezogen und ausgewertet. Welche Genehmigungsschritte im definierten Prozess waren durch wen verantwortet zu initiieren, um den SIEM-Benutzer „ABC-123“ anzulegen? Wie konnte im Detail nachweislich die festgelegte Rollentrennung (SIEM-Admin / Security-Analyst) für diesen Benutzer sichergestellt werden? Wie konkret erfolgt die Rezertifizierung – organisatorisch, prozessual sowie technisch? Es bleibt festzuhalten, dass so weitaus tiefgründigere Prüfschritte und -handlungen angesetzt werden.

Fazit

Eine Zertifizierung nach ISO/IEC 27001 ist der Nachweis über die Anwendung eines Mindeststandards – nicht mehr, nicht weniger. Für einen „Greenfield-Ansatz“ sicher ein erstes Ziel. Angemessen auch für den Fall, dass aktuell nur ein Nachweis auf dieser Basis erbracht werden muss. Für durch NIS2 oder DORA direkt betroffene Organisationen wird dieser Ansatz definitiv nicht ausreichen, auch nicht für Organisationen, die Teil deren Lieferkette(n) sind. Insbesondere bei der Ausarbeitung einer langfristig gedachten, auf höherwertigere Ziele ausgerichteten, Strategie im Kontext Informationssicherheit führt perspektivisch kein Weg daran vorbei, sich intensiver mit der SOC2-Berichterstattung zu beschäftigen.

Über den Autor: Markus Thiel unterstützt Organisationen bei Governance-Anforderungen, primär mit Fokus Operative Informationssicherheit.

(ID:49919539)