In unserer Arbeit mit Kunden aus verschiedenen Branchen haben wir die vier häufigsten Fehler bei der Umsetzung von Maßnahmen nach ISO 27001 identifiziert.
Neben der Lieferantensicherheit und dem Asset-Management, gibt es noch zwei weitere wichtige Bereiche, in denen häufig Fehler bei der Umsetzung passieren.
In diesem Guide erfahren Sie, wie Sie die richtigen Maßnahmen ergreifen und die gängigsten Fehler vermeiden, um die ISO 27001-Zertifzierung zu erlangen.
Das Wichtigste auf einen Blick
Die Umsetzung der ISO 27001 ist ein komplexer Prozess, der sorgfältig geplant und durchgeführt werden sollte.
Die vier häufigsten Fehler passieren in der:
- Lieferantensicherheit: Fehlende Überprüfung der Informationssicherheit
- Betriebssicherheit: Keine ausreichende Dokumentation der Betriebsprozesse
- Kommunikationssicherheit: Kein ausreichender Schutz der Netzwerke
- Asset-Management: Fehlende Übersicht über Informationswerte
Um diese Fehler zu vermeiden, sollten Unternehmen folgende Maßnahmen ergreifen:
- Lieferantensicherheit: Unternehmen sollten eine Risikobewertung für alle Lieferanten durchführen, die Zugang zu ihren Informations-Assets haben.
- Betriebssicherheit: Unternehmen sollten ihre Betriebsverfahren detailliert dokumentieren und Nachweise über die durchgeführten Maßnahmen erbringen.
- Kommunikationssicherheit: Unternehmen sollten ihre Netzwerke in verschiedene Bereiche aufteilen und sichere Kommunikationskanäle für besonders sensible Informationen verwenden.
- Asset-Management: Unternehmen sollten eine vollständige Übersicht über ihre Informations-Assets erstellen und diese regelmäßig aktualisieren.
Leitfaden: Die 4 häufigsten Fehler bei der Umsetzung der ISO 27001
Informationssicherheit ist nicht mehr nur ein Randthema – sie bildet die Grundlage für Resilienz, Erfolg und Wachstum eines Unternehmens. Viele Unternehmen fordern von ihren Geschäftspartnern und Lieferanten eine Informationssicherheitszertifizierung wie z. B. ISO/IEC 27001, in der die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) spezifiziert sind.
Ohne einen strukturierten Plan stellt die Umsetzung der ISO 27001 jedoch eine große Herausforderung dar. Auf Grundlage unserer Zusammenarbeit mit Kunden in den verschiedensten Branchen haben wir die vier häufigsten Fehler zusammengestellt, die bei der Umsetzung von Maßnahmen nach ISO 27001 auftreten – sowie Tipps, wie Ihr Unternehmen die gängigsten Fehler vermeiden kann.
Bevor wir tiefer einsteigen, sollten wir uns kurz ansehen, welche Maßnahmen die ISO 27001 vorsieht.
Maßnahmen nach ISO 27001 – Überblick
In der ISO 27001 gibt es insgesamt zehn Hauptkapitel sowie 4 Maßnahmenkataloge im Anhang A, die insgesamt 93 detaillierte Zielsetzungen für Maßnahmen umfassen. Durch diese Maßnahmen werden u. a. Bereiche wie Kryptographie, Compliance, Betriebssicherheit abgedeckt. Zusammenfassend kann Anhang A als ein Katalog von einzelnen Sicherheitsanforderungen verstanden werden. Wie Sie beim Aufbau Ihres ISMS auf diese Anforderungen reagieren, hängt von der Art Ihres Unternehmens ab.
Werfen wir also einen Blick auf einige der anspruchsvollsten Maßnahmen, die ein Unternehmen umsetzen muss.
Maßnahme 1: Lieferantensicherheit
Maßnahmenziel
Ziel dieser Maßnahme ist der Schutz von Informations-Assets, die von Ihren Lieferanten verarbeitet werden. Sie müssen sicherstellen, dass Ihre Lieferanten fortlaufend ein vereinbartes Informationssicherheitsniveau einhalten. Das erforderliche Sicherheitsniveau könnte zum Beispiel im Rahmen von Lieferantenvereinbarungen festgelegt werden.
Warum diese Maßnahme oft scheitert
- Risikobewertung: Die Bewertung und kontinuierliche Überwachung aller Lieferanten werden häufig vernachlässigt. Die Durchführung einer Risikobewertung für jeden Lieferanten, der Zugang zu Ihren Assets hat, kann eine Herausforderung darstellen Deswegen wird nicht konsequent jeder Lieferant einer Risikobewertung unterzogen.
- Dokumentation: Bei Risikobewertungen muss alles dokumentiert werden; dies wird oft zu einer Belastung und führt zu unzureichender Dokumentation.
- Lieferantenkriterien: Sie müssen Kriterien definieren, die angemessen für das Produkt oder die Dienstleistung sind, die der Lieferant bereitstellt. Besagte Kriterien für die Zusammenarbeit mit Lieferanten liegen oft nicht vor oder sind unzureichend.
- Nachweis über Compliance: Unternehmen versäumen es oft, den Nachweis für die Einhaltung der Vorschriften für alle ihre Lieferanten zu erbringen. Hier sind Sie mit einer weiteren Herausforderung konfrontiert: Entweder Sie führen bei jedem Lieferanten ein Einzelaudit durch, oder Sie lassen sich ausreichende Nachweise für deren Informationssicherheit zur Verfügung stellen (also eigene Zertifizierungen, Audits, Berichte etc.).
- Lieferantenprüfungen: In der Regel führt der Einkauf Lieferantenprüfungen durch (z. B. Überprüfung der Preisgestaltung, Qualität usw.) – allerdings sind ihm die Kriterien der ISO 27001 oft nicht im Detail bekannt.
Was Sie tun können
- Überlegen Sie, ob Ihre Einkaufsabteilung die Einhaltung der Informationssicherheit von Lieferanten selbst bewerten kann – z. B. durch entsprechende Schulungen. Alternativ können Sie eine Person mit der notwendigen Erfahrung und Expertise hinzuziehen, z. B. einen externen Informationssicherheitsbeauftragten (ISB), der sie während des Beschaffungsprozesses unterstützt.
- Führen Sie immer eine Risikobewertung durch, bevor Sie eine neue Software erwerben oder mit neuen Lieferanten zusammenarbeiten. Dadurch sparen Sie Zeit und können spätere Stresssituationen vermeiden.
- Vergewissern Sie sich, dass Maßnahmen zur Informationssicherheit im Vertrag und im SLA, das Sie mit jedem neuen Lieferanten abschließen, erwähnt werden. Über den Vertrag können Ihre Lieferanten verpflichtet werden, Statusaktualisierungen über Verfügbarkeit, Ausfallzeiten usw. zu melden. Beispiel: Wenn der Cloudanbieter in seinem Vertrag angibt, dass er eine Verfügbarkeit von 95 % gewährleistet, dann sollte er monatlich einen entsprechenden Bericht an Sie senden, in dem er das belegt. Auf dieser Grundlage können Sie Verträge neu verhandeln oder sich u. U. nach einem neuen Lieferanten umsehen.
Maßnahme 2: Betriebssicherheit
Maßnahmenziel
Das Ziel dieser Maßnahme ist es, einen sicheren und angemessenen Betrieb von Informationsverarbeitungssystemen zu gewährleisten. Die Maßnahme bezieht sich daher auf operative Verfahren und Verantwortlichkeiten im Alltag Ihrer IT.
Warum diese Maßnahme oft scheitert
- Fehlende Angaben in der Dokumentation: Organisationen setzen oft die richtigen Maßnahmen um. Dabei versäumen sie jedoch häufig ihre Betriebsverfahren im Detail zu dokumentieren. Z. B. die genauen Konfigurationsangaben einer Firewall, eines Servers oder sonstiger Infrastrukturkomponenten. Dies führt zu Reibungsverlusten innerhalb Ihrer eigenen Prozesse.
- Mangel an Nachweisen: Im Audit nach ISO 27001 möchte Ihr Prüfer immer einen Nachweis über die durchgeführten Maßnahmen sehen. Es reicht nicht aus, den Prozess zu beschreiben – Sie müssen auch Nachweise erbringen, z. B. eine Dokumentation über Ihre wichtigsten Systeme, IT-Prozesse, Einstellungen, kritische Passwörter, Admin-Zugänge usw.
- Änderungsmanagement: Größere Änderungen, wie z. B. die Einführung eines neuen ERP-Systems (z. B.SAP), das die Erstellung einzelner Arbeitsabläufe, Berichte oder Schnittstellen ermöglicht, können sich zu einem Problem entwickeln. Zum Beispiel führen selbstprogrammierte neue Berichte häufig zu ungenauen Informationen. Eine unzureichend gestaltete Schnittstelle kann im schlimmsten Fall zum Systemausfall führen, falls sie nicht richtig getestet wurde.
- Aufzeichnung und Überwachung von Protokollen: Oft wissen Organisationen nicht, was sie genau überwachen oder wie sie entsprechende Benachrichtigungsereignisse richtig definieren sollen. Das kann dazu führen, dass zu viel protokolliert wird, oder schlimmer noch, dass überhaupt keine Protokollierung erfolgt. Organisationen fehlt häufig ein System, um die Protokolle zu überprüfen oder benachrichtigt zu werden, falls etwas passiert.
Was Sie tun können
- Achten Sie auf eine korrekte und detaillierte Dokumentation. Dafür können Sie mit Vorlagen arbeiten, einen standardisierten Prozess für die Erstellung und Aktualisierung von Dokumenten implementieren und wichtige Stakeholder aus verschiedenen Abteilungen schulen, um die Dokumentation auf dem neuesten Stand zu halten, z. B. falls sich Prozesse ändern.
- Implementieren Sie Software, die bei der Protokollierung hilft, und definieren Sie Trigger-Ereignisse, die für die Überwachung wichtig sind (z. B. kann Microsoft Office 365 Anmeldungen aus verschiedenen Ländern überwachen, die verdächtig sein könnten). Daraufhin können Sie entsprechend reagieren, z. B., indem Sie betroffene Konten sperren und dafür sorgen, dass Passwörter geändert werden. Ein anderes Beispiel wäre die Implementierung einer Zwei-Faktor-Authentifizierung für Ihre E-Mail- oder Anwendungskonten.
Maßnahme 3: Kommunikationssicherheit
Maßnahmenziel
Diese Zielvorgabe bezieht sich auf das Sicherheitsmanagement Ihres Netzwerks. Ziel ist: Verarbeitete Informationen und Einrichtungen werden angemessen geschützt.
Warum diese Maßnahme oft scheitert
- Unzureichender Netzwerkschutz: Falls ein Netzwerk nicht sicher eingerichtet ist (z. B., weil nur ein zentrales Netzwerk für den gesamten Datenverkehr zur Verfügung gestellt wird), könnte das gesamte Netzwerk bei einem Angriff betroffen sein.
- Fehlen von Geheimhaltungsvereinbarungen (Non-disclosure Agreements, NDAs) und Service Level Agreements mit Ihren Netzwerkanbietern: Häufig schließen die Unternehmen nicht hinreichende Vereinbarungen ab. Sicherheitsvorkehrungen z. B. bezüglich der Verfügbarkeit, der Sicherstellung der Kontinuität im Fall von Störungen, usw., sollten explizit festgehalten sein.
- Mangel an sicheren Kommunikationskanälen für besonders sensible Informationen: Hochsensible Informationen werden in Organisationen häufig ausgetauscht – aber nur selten über geschützte Kommunikationskanäle. E-Mail ist zwar ein beliebtes Medium für den Austausch solcher Informationen, aber leider nicht sicher genug.
Was Sie tun können
- Schützen Sie Ihre Netzwerke und teilen Sie diese je nach Funktion in verschiedene Bereiche auf. So erhöhen Sie die Widerstandsfähigkeit Ihres Netzwerks. Die Netzwerke könnten beispielsweise je nach Produktions- und Verwaltungsfunktion unterteilt werden. Im Falle eines Angriffs sind die potenziellen Auswirkungen auf einen bestimmten Bereich Ihres Netzwerks beschränkt und wirken sich nicht auf das gesamte Netzwerk aus.
- Schließen Sie NDAs bzw. SLAs mit allen Parteien ab, die Zugang zu kritischen Informationen über Ihr Unternehmen haben. Dadurch wird der vertragsgemäße Schutz Ihrer kritischen Informationen gewährleistet.
- Stellen Sie sicher, dass Sie über einen sicheren Kommunikationskanal verfügen, um kritische Informationen zu verarbeiten und weiterzugeben. Eine Ende-zu-Ende-Verschlüsselung von E-Mails mittels Secure/Multipurpose Internet Mail Extensions (S-MIME) oder Pretty Good Privacy (PGP) würde Ihre E-Mail Kommunikation noch sicherer machen.
Maßnahme 4: Asset-Management
Maßnahmenziel
Mit dieser Zielvorgabe sollen Informations-Assets identifiziert, geschützt und ausgewiesen werden – Ihre eigenen, aber auch die Ihrer Kunden. Zudem sollen die Zuständigkeiten und die zulässige Nutzung dieser Assets festgelegt werden.
Warum diese Maßnahme oft scheitert
- Schatten-IT: Vor allem in Start-ups, jungen Unternehmen und Organisationen mit moderner Infrastruktur (sprich, Organisationen, die mit vielen SaaS-Lösungen arbeiten) werden viele Informations-Assets von Software und Anbietern verarbeitet, die niemand genau kennt. Die Vertriebsabteilung verwendet beispielsweise ein kostenloses Online-Tool, um ein PDF in ein Word-Dokument zu konvertieren. Das Unternehmen weiß nicht, welcher Anbieter hinter dem kostenlosen Online-Tool steckt und ob kritische Informationen verarbeitet werden.
- Mangelndes Bewusstsein für alle relevanten Informations-Assets: Falls Sie nicht alle Ihre Assets im Blick haben, können Sie Ihre Risiken nicht umfassend verstehen. Dies hat zur Folge, dass Ihr Risikomanagement im Audit als unzureichend angesehen wird. Es ist wichtig zu wissen, welche Assets Sie schützen wollen oder müssen. Je nach Unternehmen ist dies für einen Auditor sehr leicht zu erkennen. Falls zum Beispiel im Asset-Management eines Softwareunternehmens mit 2.000 Mitarbeitern nur 150 Laptops erfasst werden, würde dies bei einem externen Audit ernsthafte Fragen aufwerfen und kann zu einer nicht bestandenen Auditierung führen.
Was Sie tun können
- Dokumentieren Sie alles – im Idealfall sollten Sie einen speziellen Prozess einrichten, mit dem sichergestellt wird, dass alle Assets sowie die von Ihnen eingerichteten Maßnahmen dokumentiert werden.
- Es sollte eine verantwortliche Abteilung oder Person geben, die sicherstellt, dass alle Assets in einem Asset-Management-Dokument oder -Katalog erfasst werden. Die verantwortliche Person muss von anderen Mitgliedern der Organisation informiert werden, um zu verstehen, welche Informations-Assets von wem verwendet werden. Eine neue Software oder Hardware sollte dieser Person gemeldet werden, damit sie protokollieren kann, welche Informationen verarbeitet werden.
- Ggf. sollte das Asset-Management mit dem Datenschutzbeauftragten (DSB) abgestimmt werden, sofern personenbezogene Daten verarbeitet werden.
- Diese Maßnahme wirkt sich auch auf weitere Prozesse aus. Ein gängiges Beispiel ist das Onboarding und Offboarding von Mitarbeitern: Deaktivieren Sie Benutzerkonten, wenn jemand das Unternehmen verlässt. Andernfalls könnten ehemalige Mitarbeiter immer noch Zugang zu vertraulichen Unternehmensinformationen haben. Und nicht mehr verwendete Konten stellen ein erhöhtes Risiko für Hackerangriffe dar.
Wie läuft eine Zertifizierung nach ISO 27001 ab?
Schwachstellen erkennen und Umsetzung starten
Die Implementierung eines Informationssicherheitsmanagementsystems (ISMS) nach ISO 27001 ist ein mehrstufiges Projekt. Um den Erfolg zu gewährleisten, ist es wichtig, die aktuellen Informationssicherheitspraktiken der Organisation zu verstehen und die erforderlichen Verbesserungen zu identifizieren.
Die ersten Schritte zur Implementierung eines ISMS nach ISO 27001 sind:
- Kennenlernen der ISO 27001-Anforderungen: Die ISO 27001 definiert die Anforderungen an ein ISMS. Es ist wichtig, sich mit diesen Anforderungen vertraut zu machen, bevor man mit der Implementierung beginnt.
- Gap-Analyse: Eine Gap-Analyse hilft dabei, Bereiche zu identifizieren, in denen die aktuellen Informationssicherheitspraktiken der Organisation nicht mit den Anforderungen der ISO 27001 übereinstimmen.
- Entwicklung eines Implementierungsplans: Ein Implementierungsplan legt fest, welche Aktivitäten durchgeführt werden müssen, um die Anforderungen der ISO 27001 zu erfüllen.
Aufbau des ISMS
Der Aufbau eines ISMS nach ISO 27001 umfasst die folgenden Schritte:
- Festlegung des Anwendungsbereichs: Der Anwendungsbereich definiert, welche Informationen und Prozesse durch das ISMS geschützt werden sollen.
- Identifizierung von Risiken: Risiken für die Informationssicherheit können aus verschiedenen Quellen stammen, z. B. aus menschlichen Fehlern, technischen Problemen oder natürlichen Ereignissen. Die Risikoidentifizierung hilft dabei, diese Risiken zu bewerten und geeignete Maßnahmen zur Risikobehandlung zu entwickeln.
- Implementierung von Kontrollen: Kontrollen sind Maßnahmen, die zur Minderung von Risiken für die Informationssicherheit eingesetzt werden. Kontrollen können technischer, organisatorischer oder prozessbezogener Natur sein.
Schutz von Informationswerten
Die Informationssicherheitsziele einer Organisation sollten die Schutzanforderungen für alle relevanten Informationswerte berücksichtigen. Informationswerte können z. B. Hardware, Software, Daten, Geschäftsprozesse oder Reputation sein.
Die folgenden Maßnahmen können dazu beitragen, Informationswerte zu schützen:
- Identifizierung und Kategorisierung von Informationswerten: Alle relevanten Informationswerte sollten identifiziert und nach ihrer Wichtigkeit und ihrem Wert kategorisiert werden.
- Festlegung von Verantwortlichkeiten: Die Verantwortlichkeiten für die Verwaltung und den Schutz von Informationswerten sollten festgelegt werden.
- Implementierung von Kontrollen: Kontrollen sollten implementiert werden, um die Schutzanforderungen für alle relevanten Informationswerte zu erfüllen.
Absolvieren des Audits nach ISO 27001
Nach Abschluss der Implementierung des ISMS muss die Organisation ein externes Audit durchführen lassen, um die Einhaltung der ISO 27001-Anforderungen zu überprüfen. Das externe Audit wird von einem akkreditierten Prüfer durchgeführt.
Pflege des ISMS
Nach der Zertifizierung ist es wichtig, das ISMS regelmäßig zu überprüfen und zu aktualisieren. Dies ist erforderlich, um die kontinuierliche Einhaltung der ISO 27001-Anforderungen zu gewährleisten.
Änderungen an der organisatorischen Infrastruktur und weiterentwickelte Sicherheitsbedrohungen können neue Risiken schaffen. Um diese Risiken zu mindern, ist es wichtig, das ISMS regelmäßig zu überprüfen und zu aktualisieren. Dazu gehören:
Risikobewertungen: Regelmäßige Risikobewertungen helfen dabei, neue Risiken zu identifizieren und geeignete Maßnahmen zur Risikobehandlung zu entwickeln.
Interne Audits: Interne Audits helfen dabei, die Einhaltung der ISO 27001-Anforderungen zu überprüfen und Verbesserungspotenziale zu identifizieren. Mitarbeiterschulungen:
Mitarbeiterschulungen sind wichtig, um sicherzustellen, dass alle Mitarbeiter über die Anforderungen der ISO 27001 informiert sind und diese erfüllen können.
Zertifizierung aufrechterhalten
Um die Zertifizierung aufrechtzuerhalten, muss die Organisation alle 3 Jahre ein Re-Audit bestehen. Dafür ist es hilfreich jährliche Überwachungs-Audits zu absolvieren, um regelmäßig den Stand der Informationssicherheit im Unternehmen zu überprüfen.
Maßnahmen für eine erfolgreiche Zertifizierung nach ISO 27001
Mit einem gut strukturierten Plan und der vollständigen Dokumentation Ihrer Maßnahmen gelingt die Umsetzung der Maßnahmen nach ISO 27001. Binden Sie Mitarbeiter und Führungsebenen in die Prozesse ein und schaffen Sie ein Bewusstsein für Informationssicherheit im Unternehmen. Durch die Umsetzung der vier genannten Maßnahmen können Unternehmen ihre Informationssicherheit verbessern und das Risiko von Sicherheitsvorfällen reduzieren.
Wenn Sie weitere Fragen bei der Umsetzung von Maßnahmen nach ISO 27001 haben stehen wir Ihnen gerne zur Verfügung. Ein erstes Gespräch ist bei uns immer kostenlos.
