ISO 27001 Klausel 5.2 : Informationssicherheitsrichtlinie

Klausel 5.2 der ISO 27001 ist die Vorschrift zur Erstellung einer Informationssicherheitsrichtlinie. Wir erklären, wie diese Richtlinie aufzubauen ist.

ISO 27001 ist ein internationaler Standard, der Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) festlegt. Ein ISMS ist eine Reihe von Richtlinien, Verfahren und Kontrollen, die entwickelt wurden, um die Informationswerte einer Organisation zu schützen.

Klausel 5.2 der ISO 27001 verlangt, dass vom Management eine Informationssicherheitsrichtlinie erstellt wird

Die Informationssicherheitsrichtlinie ist ein entscheidender Bestandteil eines jeden Datenschutzplans. Sie legt einen Rahmen für den Schutz von Informationswerten fest und stellt sicher, dass die Organisation gemäß branchenüblicher Standards und Vorschriften arbeitet.

Sie sollte mit der Gesamtrichtung der Organisation abgestimmt sein und an alle Mitarbeiter kommuniziert werden.

Was ist eine Informationssicherheitsrichtlinie?

Eine Informationssicherheitsrichtlinie ist ein Dokument, das den Gesamtansatz der Organisation zur Informationssicherheit definiert. Sie sollte:

Die Verpflichtung der Organisation zur Informationssicherheit festlegen
Die Vermögenswerte der Organisation identifizieren, die geschützt werden müssen
Die Bedrohungen und Risiken für diese Vermögenswerte identifizieren
Die Maßnahmen beschreiben, die zur Minderung dieser Risiken eingesetzt werden
Die Rollen und Verantwortlichkeiten der Mitarbeiter in Bezug auf die Informationssicherheit festlegen

Wie funktioniert ein ISMS?

Informationssicherheits-Managementsysteme sind prozessorientiert, und für ihre Implementierung ist das Management einer Organisation verantwortlich. Es wird also ein Top-Down-Ansatz verfolgt. Die Implementierung – nicht aber die Verantwortung – kann delegiert werden.

Basierend auf dem Grund für die Implementierung (siehe Abb. 1, links) wählt das Management die Verfahren und Methoden aus, die angewendet oder entwickelt werden müssen, um Informationssicherheit bei Unternehmensaktivitäten zu gewährleisten. Umfang, Intensität und Fortschritt der Maßnahmen müssen regelmäßig vom Management überprüft werden.

Ziel eines ISMS ist nicht maximale Informationssicherheit. Es geht vielmehr darum, die Sicherheitsebene zu erreichen, die der Risikobereitschaft der Organisation entspricht.

Ein Unternehmen muss seine Informationen, die damit verbundenen Risiken und die finanziellen Auswirkungen bei Eintritt eines Risikos kennen. Auf Grundlage dieses Wissens entscheidet das Management, wie weit die Risiken mithilfe eines ISMS gemanagt werden sollen.

Anforderungen der ISO 27001 Klausel 5.2

Klausel 5.2 der ISO 27001 verlangt, dass die oberste Leitung eine Informationssicherheitsrichtlinie erstellt. Die Richtlinie muss:

Dokumentiert sein
Von der obersten Leitung genehmigt werden
An alle Mitarbeiter kommuniziert werden
Bei Bedarf überprüft und aktualisiert werden

Wichtige Punkte, die in einer Informationssicherheitsrichtlinie behandelt werden sollten

Hier sind einige wichtige Punkte, die in einer Informationssicherheitsrichtlinie behandelt werden sollten:

Die Verpflichtung der Organisation zur Informationssicherheit
Die Vermögenswerte der Organisation, die geschützt werden müssen
Die Bedrohungen und Risiken für diese Vermögenswerte
Die Maßnahmen, die zur Minderung dieser Risiken verwendet werden
Die Rollen und Verantwortlichkeiten der Mitarbeiter in Bezug auf die Informationssicherheit
Der Prozess zur Meldung von Vorfällen der Informationssicherheit
Der Prozess zur kontinuierlichen Verbesserung der Informationssicherheit der Organisation

Was kann bei Informationssicherheitsrichtlinien schiefgehen?

Es gibt verschiedene Dinge, die bei Informationssicherheitsrichtlinien schiefgehen können. Einige der häufigsten Probleme sind:

Die Richtlinie ist zu komplex und schwer verständlich - alle Parteien, die sie lesen müssen, sollten alle Aspekte verstehen können.
Die Richtlinie ist nicht auf die Gesamtrichtung der Organisation ausgerichtet und zu allgemein gehalten - dies sollte immer auf das Unternehmen zugeschnitten sein.
Die Richtlinie wird nicht effektiv an Mitarbeiter und gegebenenfalls interessierte Parteien kommuniziert.
Die Richtlinie ist an einem schwer zugänglichen Ort für Mitarbeiter nicht gespeichert.
Die Richtlinie wird nicht regelmäßig überprüft und aktualisiert.
Die Richtlinie wird entweder nicht oder nicht ausreichend durchgesetzt.

Fazit

Eine effektive Informationssicherheitsrichtlinie ist für jede Organisation unerlässlich, die ihre Informationswerte schützen möchte. Die Richtlinie sollte klar, präzise und leicht verständlich sein. Sie sollte mit der Gesamtrichtung der Organisation übereinstimmen und effektiv an alle Mitarbeiter und gegebenenfalls interessierte Parteien kommuniziert werden. Die Richtlinie sollte auch regelmäßig überprüft und aktualisiert werden, um sicherzustellen, dass sie wirksam und relevant bleibt.