In einer sich rasch entwickelnden digitalen Landschaft ist der Schutz sensibler Informationen für Organisationen weltweit von größter Bedeutung. Allein in Deutschland hat das BKA im letzten Jahr 136.865 Cyberangriffe gezählt - enorme finanzielle Schäden und Vertrauensverlust sind die Folge.

In diesem Zusammenhang sind die ISO 27001 Controls ein wichtiger Leitfaden für die Informationssicherheit. Die ISO 27001 Controls sind ein zentraler Bestandteil der ISO 27001-Norm, einem internationalen Standard für Informationssicherheits-Managementsysteme (ISMS). Sie bieten einen Rahmen für die Entwicklung, Implementierung, Überwachung und Verbesserung eines ISMS.

Die ISO 27001 Controls wurden 2022 neu kategorisiert und an die aktuellen Entwicklungen der Unternehmen in Sachen Informationssicherheit angepasst. Zu den Control Sets gehören auch die organisatorischen Maßnahmen.

Neue organisatorische Controls in der ISO 27001:2022

Die ISO 27001:2022 enthält einige neue organisatorische Controls, die auf die aktuellen Herausforderungen der Informationssicherheit reagieren. Dazu gehören:

• Threat Intelligence: Organisationen sollten eine Bedrohungsanalyse durchführen, um besser zu verstehen, wie sie angegriffen werden können.
  
  
• Informationssicherheit für den Einsatz von Cloud-Diensten: Organisationen sollten die Risiken des Einsatzes von Cloud-Diensten für die Informationssicherheit bewerten und einen Leitfaden zum Umgang mit ihnen entwickeln.
  
  
• ICT (Informations- und Kommunikationstechnologie) -Bereitschaft für die Geschäftskontinuität: Organisationen sollten sicherstellen, dass ihre ICT-Systeme im Falle eines Ausfalls in der Lage sind, die Geschäftskontinuität zu gewährleisten.

ISO 27001 Organisatorische Controls: Welche gibt es?

Organisatorische Controls sind ein essentieller Bestandteil einer umfassenden Informationssicherheitsstrategie. Um ein funktionierendes Informationssicherheits-Managementsystem aufbauen zu können, müssen Organisationen wissen, welche Maßnahmen es gibt.

Wir haben Ihnen deswegen eine Liste mit einem umfassenden Überblick über alle organisatorischen Controls aus Anhang A der ISO 27001 erstellt:

Wie implementiert man organisatorische Controls?

Der Überblick über die Controls ist geschafft – jetzt müssen Sie noch die richtigen Controls wählen und in Ihrem Unternehmen einsetzen. Wie das geht? Die Implementierung von organisatorischen Controls ist ein Prozess, der in mehrere Schritte unterteilt werden kann:

1. Bewertung des Status quo:
   
   Im ersten Schritt ist es wichtig, den aktuellen Stand der Informationssicherheit der Organisation zu bewerten. Dazu gehört die Identifizierung der relevanten Risiken und die Bewertung der Wirksamkeit der bestehenden Controls.
   
   Die Bewertung kann mithilfe von verschiedenen Methoden durchgeführt werden, z. B.:
   
   
   • Interne Audits: Ein internes Audit ist eine systematische Untersuchung der  Informationssicherheits-Vorgaben und -Prozesse einer Organisation.
     
     
   • Externe Audits: Ein externes Audit wird von einem unabhängigen Dritten durchgeführt.
     
     
2. Auswahl der Controls: 
   
   Auf der Grundlage der Bewertung werden die geeigneten Controls ausgewählt. Dabei ist es wichtig, die Risiken und die Anforderungen der Organisation zu berücksichtigen.
   
   Die Auswahl der Controls kann mithilfe eines Risikomanagementprozesses durchgeführt werden. Dieser Prozess besteht unter anderem aus den folgenden Schritten:
   
   
   • Identifizierung der Risiken: Die Risiken für die Informationssicherheit der Organisation werden identifiziert.
     
     
   • Bewertung der Risiken: Die Risiken werden hinsichtlich ihrer Eintrittswahrscheinlichkeit und ihres Schadenspotenzials bewertet.
     
     
   • Maßnahmen zur Risikominderung: Maßnahmen zur Minderung der Risiken werden ausgewählt.
     
     
3. Implementierung der Controls:
   
   Die ausgewählten Controls werden implementiert. Dieser Schritt kann je nach Control sehr unterschiedlich sein.
   
   Die Implementierung einer Informationssicherheitsrichtlinie kann beispielsweise die folgenden Schritte umfassen:
   
   
   • Entwicklung der Richtlinie: Die Richtlinie wird von einem Team aus Experten ausgearbeitet.
     
     
   • Genehmigung der Richtlinie: Die Richtlinie wird von der Geschäftsführung genehmigt.
     
     
   • Kommunikation der Richtlinie: Die Richtlinie wird an alle Mitarbeiter kommuniziert.
     
     
   • Etablierung der Richtlinie: Implementierung und Verbesserung der daraus abzuleitenden Maßnahmen in Prozesse.  
     
     
4. Überwachung und Verbesserung:
   
   Die Wirksamkeit der Controls wird regelmäßig überwacht und verbessert.
   
   Dieser Schritt ist wichtig, um sicherzustellen, dass die Controls weiterhin effektiv sind. Die Überwachung der Controls kann mithilfe von verschiedenen Methoden durchgeführt werden, z. B.:
   
   
   • Audits: Audits werden durchgeführt, um die Einhaltung der Controls zu überprüfen.
     
     
   • Reporting: Die Ergebnisse der Überwachung werden in einem Bericht dokumentiert.
     
     
   • Korrekturmaßnahmen: Korrekturmaßnahmen werden ergriffen, wenn die Wirksamkeit der Controls nicht gewährleistet ist.

Tipps für die Implementierung von organisatorischen Controls:

• Beginnen Sie mit den wichtigsten Controls. Nicht alle Controls sind gleich wichtig. Beginnen Sie mit der Implementierung der wichtigsten Controls und arbeiten Sie sich dann nach und nach vor.
  
  
• Involvieren Sie alle Beteiligten. Die Implementierung von organisatorischen Controls ist ein Team-Prozess. Involvieren Sie alle Beteiligten, um sicherzustellen, dass die Controls erfolgreich implementiert werden.
  
  
• Kommunizieren Sie die Controls. Stellen Sie sicher, dass alle Mitarbeiter die Controls kennen und verstehen.
  
  
• Messen Sie die Wirksamkeit. Messen Sie die Wirksamkeit der Controls, um sicherzustellen, dass sie ihre Ziele erreichen.

Organisatorische Controls zur Stärkung Ihrer Informationssicherheit

Organisatorische Controls sind ein wichtiger Bestandteil eines ISMS. Sie helfen Organisationen, ihre Informationssicherheit grundlegend zu verbessern und sich vor Cyberangriffen zu schützen.

Die neuen organisatorischen Controls in der ISO 27001:2022 berücksichtigen die aktuellen Herausforderungen der Informationssicherheit und bieten Organisationen zusätzliche Möglichkeiten, ihre Informationssicherheit zu verbessern.

Ein umfassender Überblick über die organisatorischen Controls erleichtert und strukturiert die Auswahl der richtigen Maßnahmen und hilft dabei, den Kontext Ihres Unternehmens mit einzubeziehen.

Finden Sie die richtigen Controls für Ihr Unternehmen und informieren Sie sich in unserer ISO 27001 Checkliste darüber, welche Maßnahmen Sie zur Umsetzung der ISO 27001 implementieren müssen.