Was ist ISO 27001?

Cyberangriffe, Ransomware, Datenlecks und Systemausfälle betreffen längst nicht mehr nur „die Großen“ oder „die anderen“. Dänische Unternehmen jeder Größe sehen sich zunehmenden Anforderungen von Kunden, Behörden und Geschäftspartnern hinsichtlich nachweisbarer IT-Sicherheit gegenüber. Gleichzeitig wird das Bedrohungsbild mit der technologischen Entwicklung immer komplexer.

In dieser Realität reicht es nicht aus, lediglich technische Lösungen zu implementieren. Es bedarf einer Struktur, gemeinsamer Begriffe, einer Verankerung auf Führungsebene und konkreter Sicherheitskontrollen.

Die Frage ist daher nicht, ob man strukturiert mit Informationssicherheit arbeiten sollte – sondern wie man es richtig macht.

Die ISO 27000-Reihe bildet den internationalen Referenzrahmen für professionelle Informationssicherheit. Die Reihe umfasst unter anderem:

• ISO 27000, die Begriffe und allgemeine Grundsätze festlegt.
• ISO 27001, die die Anforderungen an ein Managementsystem für Informationssicherheit (ISMS) festlegt.
• ISO 27002, in der die konkreten Sicherheitsmaßnahmen und bewährte Verfahren beschrieben werden.

Zusammen bilden sie eine ganzheitliche Führungsgrundlage, die Terminologie, Führung und Praxis miteinander verbindet.

Die Arbeit im Bereich der Informationssicherheit beginnt mit einem gemeinsamen Begriffsrahmen. Die Norm ISO 27000 definiert zentrale Begriffe wie:

• Informationskampagne.
• Risiko.
• Bedrohung.
• Verletzlichkeit.
• Kontrolle.
• Vorfall im Bereich der Informationssicherheit.
• Managementsystem.

Ohne einheitliche Definitionen kommt es zu Interpretationsunsicherheiten, inkonsistenten Risikobewertungen und lückenhafter Dokumentation. ISO 27000 hilft der Organisation dabei, bei der Arbeit im Bereich der Informationssicherheit eine einheitliche Sprache zu sprechen.

Der Standard verdeutlicht gleichzeitig die drei Grundprinzipien:

• Vertraulichkeit – nur befugte Personen haben Zutritt.
• Integrität – Die Daten sind korrekt und unverändert.
• Verfügbarkeit – Informationen und Systeme sind bei Bedarf verfügbar.

ISO 27000 ist an sich nicht zertifizierbar, bildet jedoch die Grundlage für die gesamte ISO 27000-Reihe. Sie schafft den konzeptionellen und terminologischen Rahmen, auf dem ISO 27001 und ISO 27002 aufbauen.

 

Was ist ISO 27001?

Während ISO 27000 die Begriffe definiert, legt ISO 27001 die Anforderungen für die Einrichtung, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines Managementsystems für die Informationssicherheit (ISMS) fest.

ISO 27001 ist eine Managementnorm. Sie verankert die Informationssicherheit auf strategischer Ebene und stellt Anforderungen an die Governance, die Dokumentation und die kontinuierliche Verbesserung.

IT-Sicherheit beginnt bei der Führungsebene

ISO 27001 (Abschnitt 5) legt fest, dass die Informationssicherheit in der Verantwortung der Unternehmensleitung liegt. Es geht dabei nicht nur um Technik, sondern auch um Prioritätensetzung, Risikobewusstsein und strategische Ausrichtung.

Wenn die Geschäftsleitung:

• Legt eine Informationssicherheitsrichtlinie fest.
• Legt Rollen und Zuständigkeiten fest.
• Stellt die erforderlichen Ressourcen bereit.
• Integriert Sicherheit in die Unternehmensstrategie.

So wird IT-Sicherheit zu einem Teil des Geschäfts – und nicht zu einer isolierten IT-Disziplin.

 

ISO 27001 – Ein risikobasierter Ansatz für die Informationssicherheit

Im Mittelpunkt der Norm ISO 27001 steht das systematische Risikomanagement (Abschnitt 6). Das Unternehmen muss:

1. Informationsressourcen identifizieren.
2. Bedrohungen und Schwachstellen bewerten.
3. Wahrscheinlichkeit und Folgen analysieren.
4. Festlegung des Risikomanagements.
5. Die Prüfungen in einer Statement of Applicability (SoA) dokumentieren.

Dieser risikobasierte Ansatz stellt sicher, dass Sicherheitsmaßnahmen nicht willkürlich, sondern gezielt dort umgesetzt werden, wo das Risiko tatsächlich am größten ist.

 

Kontinuierliche Verbesserung

ISO 27001 basiert auf dem PDCA-Modell (Plan-Do-Check-Act) und erfordert eine kontinuierliche Verbesserung (Abschnitt 10).

Das bedeutet unter anderem:

• Interne Audits.
• Bewertung durch die Geschäftsleitung.
• Nachverfolgung von Vorfällen.
• Aktualisierte Risikobewertungen.

Sicherheit wird somit zu einem dynamischen Prozess, der sich im Einklang mit dem Unternehmen und der Bedrohungslage weiterentwickelt.

 

Was ist ISO 27002?

Während ISO 27001 festlegt, was eingerichtet werden muss, beschreibt ISO 27002, wie Kontrollmaßnahmen in der Praxis umgesetzt werden können.

ISO 27002 dient als detailliertes Verzeichnis von Maßnahmen zur Informationssicherheit und ist eng mit Anhang A der ISO 27001 verknüpft. Die Norm enthält bewährte Verfahren für organisatorische, personelle, physische und technische Sicherheitsmaßnahmen.

Die neueste Version von ISO 27002 ist in vier Kontrollkategorien gegliedert:

• Organisatorische Kontrollen.
• Personenbezogene Kontrollen.
• Physische Kontrollen.
• Technische Kontrollen.

Nachfolgend finden Sie Beispiele für zentrale Kontrollbereiche:

Zugriffskontrolle
ISO 27002 beschreibt Prinzipien wie das Prinzip der geringsten Berechtigungen, das Need-to-know-Prinzip und die Aufgabentrennung. Berechtigungen müssen strukturiert vergeben, dokumentiert und regelmäßig überprüft werden.

Sicherung und Wiederherstellung
Sicherungen müssen regelmäßig durchgeführt, getestet und dokumentiert werden. Die Wiederherstellung von Sicherungen ist entscheidend für die Verfügbarkeit und Ausfallsicherheit im Falle unvorhergesehener Ereignisse.

Verschlüsselung
Sensible Daten müssen durch geeignete kryptografische Maßnahmen geschützt werden.

Lieferantenmanagement
Sicherheitsanforderungen müssen in Verträge aufgenommen werden, und Risiken durch Dritte müssen laufend überwacht werden.

Sensibilisierung und Schulung
Die Mitarbeiter müssen ihre Rolle bei der Informationssicherheit verstehen.

ISO 27002 stellt somit sicher, dass die Risikobewertung konkrete und umsetzbare Maßnahmen umfasst.

 

ISO 27001-Zertifizierung

Organisationen und Unternehmen, die strukturiert mit der gesamten ISO 27000-Reihe arbeiten, stellen häufig fest:

• Gestärktes Kundenvertrauen.
• Eine stärkere Position bei Ausschreibungen.
• Bessere Einhaltung der gesetzlichen Vorschriften.
• Weniger schwerwiegende Sicherheitsvorfälle.
• Klarere interne Prozesse.

Eine Zertifizierung nach ISO 27001 kann ein Wettbewerbsvorteil sein. Der eigentliche Wert liegt jedoch in der organisatorischen Reife, der Governance-Struktur und dem Risikomanagement, die durch die Arbeit mit den Normen entstehen.

 

Ein umfassendes Modell für einen professionellen Ansatz zur Informationssicherheit

Die ISO 27000-Reihe bildet ein logisches Ganzes:

• ISO 27000 schafft eine gemeinsame Terminologie und ein grundlegendes Verständnis.
• ISO 27001 legt das strukturierte Managementsystem und die Anforderungen an die Steuerung fest.
• ISO 27002 liefert konkrete Kontrollmaßnahmen und bewährte Verfahren.

Und zusammen schaffen sie eine Verbindung zwischen:

• Gemeinsame Sprache.
• Strategische Verankerung.
• Dokumentiertes Risikomanagement.
• Operative Sicherheitsmaßnahmen.
• Kontinuierliche Verbesserung.

Die Arbeit im Bereich der Informationssicherheit beginnt mit einem gemeinsamen Begriffsrahmen. Die Norm ISO 27000 definiert zentrale Begriffe wie:

• Informationskampagne.
• Risiko.
• Bedrohung.
• Verletzlichkeit.
• Kontrolle.
• Vorfall im Bereich der Informationssicherheit.
• Managementsystem.

Ohne einheitliche Definitionen kommt es zu Interpretationsunsicherheiten, inkonsistenten Risikobewertungen und lückenhafter Dokumentation. ISO 27000 hilft der Organisation dabei, bei der Arbeit im Bereich der Informationssicherheit eine einheitliche Sprache zu sprechen.

Der Standard verdeutlicht gleichzeitig die drei Grundprinzipien:

• Vertraulichkeit – nur befugte Personen haben Zutritt.
• Integrität – Die Daten sind korrekt und unverändert.
• Verfügbarkeit – Informationen und Systeme sind bei Bedarf verfügbar.

ISO 27000 ist an sich nicht zertifizierbar, bildet jedoch die Grundlage für die gesamte ISO 27000-Reihe. Sie schafft den konzeptionellen und terminologischen Rahmen, auf dem ISO 27001 und ISO 27002 aufbauen.

 

Was ist ISO 27001?

Während ISO 27000 die Begriffe definiert, legt ISO 27001 die Anforderungen für die Einrichtung, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines Managementsystems für die Informationssicherheit (ISMS) fest.

ISO 27001 ist eine Managementnorm. Sie verankert die Informationssicherheit auf strategischer Ebene und stellt Anforderungen an die Governance, die Dokumentation und die kontinuierliche Verbesserung.

IT-Sicherheit beginnt bei der Führungsebene

ISO 27001 (Abschnitt 5) legt fest, dass die Informationssicherheit in der Verantwortung der Unternehmensleitung liegt. Es geht dabei nicht nur um Technik, sondern auch um Prioritätensetzung, Risikobewusstsein und strategische Ausrichtung.

Wenn die Geschäftsleitung:

• Legt eine Informationssicherheitsrichtlinie fest.
• Legt Rollen und Zuständigkeiten fest.
• Stellt die erforderlichen Ressourcen bereit.
• Integriert Sicherheit in die Unternehmensstrategie.

So wird IT-Sicherheit zu einem Teil des Geschäfts – und nicht zu einer isolierten IT-Disziplin.

 

ISO 27001 – Ein risikobasierter Ansatz für die Informationssicherheit

Im Mittelpunkt der Norm ISO 27001 steht das systematische Risikomanagement (Abschnitt 6). Das Unternehmen muss:

1. Informationsressourcen identifizieren.
2. Bedrohungen und Schwachstellen bewerten.
3. Wahrscheinlichkeit und Folgen analysieren.
4. Festlegung des Risikomanagements.
5. Die Prüfungen in einer Statement of Applicability (SoA) dokumentieren.

Dieser risikobasierte Ansatz stellt sicher, dass Sicherheitsmaßnahmen nicht willkürlich, sondern gezielt dort umgesetzt werden, wo das Risiko tatsächlich am größten ist.

 

Kontinuierliche Verbesserung

ISO 27001 basiert auf dem PDCA-Modell (Plan-Do-Check-Act) und erfordert eine kontinuierliche Verbesserung (Abschnitt 10).

Das bedeutet unter anderem:

• Interne Audits.
• Bewertung durch die Geschäftsleitung.
• Nachverfolgung von Vorfällen.
• Aktualisierte Risikobewertungen.

Sicherheit wird somit zu einem dynamischen Prozess, der sich im Einklang mit dem Unternehmen und der Bedrohungslage weiterentwickelt.

 

Was ist ISO 27002?

Während ISO 27001 festlegt, was eingerichtet werden muss, beschreibt ISO 27002, wie Kontrollmaßnahmen in der Praxis umgesetzt werden können.

ISO 27002 dient als detailliertes Verzeichnis von Maßnahmen zur Informationssicherheit und ist eng mit Anhang A der ISO 27001 verknüpft. Die Norm enthält bewährte Verfahren für organisatorische, personelle, physische und technische Sicherheitsmaßnahmen.

Die neueste Version von ISO 27002 ist in vier Kontrollkategorien gegliedert:

• Organisatorische Kontrollen.
• Personenbezogene Kontrollen.
• Physische Kontrollen.
• Technische Kontrollen.

Nachfolgend finden Sie Beispiele für zentrale Kontrollbereiche:

Zugriffskontrolle
ISO 27002 beschreibt Prinzipien wie das Prinzip der geringsten Berechtigungen, das Need-to-know-Prinzip und die Aufgabentrennung. Berechtigungen müssen strukturiert vergeben, dokumentiert und regelmäßig überprüft werden.

Sicherung und Wiederherstellung
Sicherungen müssen regelmäßig durchgeführt, getestet und dokumentiert werden. Die Wiederherstellung von Sicherungen ist entscheidend für die Verfügbarkeit und Ausfallsicherheit im Falle unvorhergesehener Ereignisse.

Verschlüsselung
Sensible Daten müssen durch geeignete kryptografische Maßnahmen geschützt werden.

Lieferantenmanagement
Sicherheitsanforderungen müssen in Verträge aufgenommen werden, und Risiken durch Dritte müssen laufend überwacht werden.

Sensibilisierung und Schulung
Die Mitarbeiter müssen ihre Rolle bei der Informationssicherheit verstehen.

ISO 27002 stellt somit sicher, dass die Risikobewertung konkrete und umsetzbare Maßnahmen umfasst.

 

ISO 27001-Zertifizierung

Organisationen und Unternehmen, die strukturiert mit der gesamten ISO 27000-Reihe arbeiten, stellen häufig fest:

• Gestärktes Kundenvertrauen.
• Eine stärkere Position bei Ausschreibungen.
• Bessere Einhaltung der gesetzlichen Vorschriften.
• Weniger schwerwiegende Sicherheitsvorfälle.
• Klarere interne Prozesse.

Eine Zertifizierung nach ISO 27001 kann ein Wettbewerbsvorteil sein. Der eigentliche Wert liegt jedoch in der organisatorischen Reife, der Governance-Struktur und dem Risikomanagement, die durch die Arbeit mit den Normen entstehen.

 

Ein umfassendes Modell für einen professionellen Ansatz zur Informationssicherheit

Die ISO 27000-Reihe bildet ein logisches Ganzes:

• ISO 27000 schafft eine gemeinsame Terminologie und ein grundlegendes Verständnis.
• ISO 27001 legt das strukturierte Managementsystem und die Anforderungen an die Steuerung fest.
• ISO 27002 liefert konkrete Kontrollmaßnahmen und bewährte Verfahren.

Und zusammen schaffen sie eine Verbindung zwischen:

• Gemeinsame Sprache.
• Strategische Verankerung.
• Dokumentiertes Risikomanagement.
• Operative Sicherheitsmaßnahmen.
• Kontinuierliche Verbesserung.

IT-Sicherheit ist heute eine Grundvoraussetzung für einen stabilen Betrieb, die Einhaltung gesetzlicher Vorschriften und das Vertrauen der Kunden.

Die ISO 27000-Reihe bietet dänischen Organisationen und Unternehmen eine strukturierte und international anerkannte Methode für den professionellen Umgang mit Informationssicherheit – vom Konzept über die Governance bis hin zur Umsetzung und zum Betrieb.

Es geht nicht nur darum, Angriffe abzuwehren.
Es geht darum, durch einen systematischen, dokumentierten und in der Unternehmensführung verankerten Ansatz zur Informationssicherheit Widerstandsfähigkeit, Glaubwürdigkeit und langfristigen Unternehmenswert zu schaffen.

Unternehmen, die ganzheitlich mit ISO 27000, ISO 27001 und ISO 27002 arbeiten, sind in der digitalen Welt, in der wir leben, ganz einfach besser aufgestellt.