Vollständige Checkliste für die Einhaltung von ISO 27001 (2023)

Es bedarf der Liebe zum Detail und gründlicher, systematischer Prozesse. Deshalb ist eine Checkliste zur Einhaltung von ISO 27001 genau das Richtige, um den Zertifizierungsprozess zu vereinfachen.

Wie man ISO 27001 einhält

“ISO-Normen werden international von Experten vereinbart. Betrachten Sie sie als eine Formel, die den besten Weg beschreibt, etwas zu tun.” Das sagt die ISO selbst. 

Um die ISO-Normen zu erfüllen, müssen Sie eine Formel befolgen, die sicherstellt, dass Sie über alle Ihre Sicherheits- und Schutzprotokolle verfügen und dass Ihre Mitarbeiter diese kennen.

Der Prozess beginnt mit einem klaren Verständnis Ihres Informationssicherheitsmanagementsystems (ISMS). 

Wir stellen Ihnen eine umfassende ISO 27001-Checkliste zur Verfügung, mit der Sie sicherstellen können, dass Sie alle Grundlagen abgedeckt haben, und geben Ihnen einen kleinen Einblick in die Inhalte unseres Wikis (das Handbuch, das unser Online-Tool Compleye Online unterstützt). 

Komplette Checkliste für die Einhaltung der ISO 27001

1. Definieren Sie Ihre ISO 27001-Strategie und -Ziele

Aufgabe 1 – Organisation & Kontext 

Organisation und Kontext ist ein Pflichtthema. Ein guter Weg, um Einblicke in Organisation & Context content zu erhalten, ist es, Ihre Produkte zu definieren, indem Sie (pro Produkt) definieren: 

• Hochrangige Beschreibung
• Typ des Kunden 
• Beteiligte Dritte 

Das wird Sie zu der Frage führen:

• Was ist die Herausforderung bei der Einhaltung der Vorschriften?
• Was sind die Sicherheitsanforderungen? 

Wenn Sie diese Fragen beantworten (und dokumentieren) können, erfüllen Sie die Anforderungen der ISO 27001.

Zu tun #2 – ISMS-Ziele

Sie müssen  Ihre ISMS -Ziele definieren, umsetzen und (mindestens jährlich) überprüfen.  In ihrem Artikel Informationssicherheitsziele in ISO 27001, ISO27001guide.com sagt, dass “Informationssicherheitsziele in ISO 27001 es Organisationen ermöglichen, ihre Anforderungen von Anfang an festzulegen und kontinuierlich zu überwachen, um sicherzustellen, dass sie diese erreichen.”

2. rechtliche & Anforderungen bestimmen

Aufgabe 1 – Interessierte Parteien & Rechtliche Anforderungen

Hier gehen Sie auf die rechtlichen Anforderungen ein, die Sie für Ihre Dritten erfüllen müssen, und definieren die Erwartungen auf beiden Seiten. Der externe Prüfer wird erwarten, dass Sie dokumentiert haben, wie Sie diesen Prozess eingerichtet haben.

Beispiele für interessierte Parteien (https://www.iso9001help.co.uk/)

To do #2 – Geistiges Eigentum

Geistiges Eigentum (IP) ist eine Kategorie von Eigentum, die immaterielle Schöpfungen des menschlichen Geistes umfasst. Typisches geistiges Eigentum für Technologieunternehmen könnte Ihr Quellcode, KI-Modelle, bestimmte Datenbanken oder eine Arbeitsmethode sein. Kurz gesagt, ist geistiges Eigentum alles, was Sie für Ihre Kunden und Konkurrenten geheim halten wollen und das geschützt werden muss, wenn Ihr Team es verwendet

To do #3 – Verträge 

Stellen Sie sicher, dass Sie einen Ordner mit all Ihren Verträgen haben, damit Sie einen guten Überblick haben – und verwenden Sie verschiedene Ordner innerhalb dieses Ordners für verschiedene Arten von Verträgen (oder Interessengruppen).

Beschränken Sie den Zugang zu diesen Verträgen innerhalb Ihrer Organisation.

Der externe Prüfer kann darum bitten, 1 oder 2 Verträge (Muster) während der Prüfung zu sehen.

Aufgabe Nr. 4 – Globale Auswirkungen

Wer in neue Märkte eintritt, muss sich mit den Anforderungen an Datenschutz und Sicherheit auseinandersetzen. Die Vorschriften zum Schutz personenbezogener Daten müssen berücksichtigt werden, wenn Sie außerhalb des geografischen Geltungsbereichs der DSGVO Verträge abschließen oder expandieren. Zusätzliche Anforderungen an Ihr ISMS können geregelt werden durch:

• Kunden 
• Gesetze 

To do #5 – GDPR

Wenn Sie ein Unternehmen mit Sitz in – oder Geschäftstätigkeit in –      Europa sind, müssen Sie die GDPR einhalten. Während Sie sich auf die Zertifizierung vorbereiten, müssen Sie folgendes tun:

• Bestimmen Sie, auf welcher Rechtsgrundlage Sie Daten sammeln.
• Geben Sie einen Überblick über die gesamte Dokumentation für die Nutzer.
• Haben Sie ein Register, um die Anfragen der Endnutzer, z.B. zum Löschen von Daten, zu verfolgen
• Erstellen Sie eine Übersicht über alle Datenschutzverletzungen.
• Eine Übersicht über alle Datenverarbeitungsverträge erstellen.

3. Definieren Sie den Bereich

To do #1 – IT-Infrastrukturkomponenten definieren

ISO 27001 verlangt einen Geltungsbereich für Ihr ISMS, also müssen Sie definieren, was Sie in den Geltungsbereich aufnehmen.

Die Definition der Komponenten Ihrer IT-Infrastruktur wird Ihnen helfen, Ihren Geltungsbereich zu definieren.

Aufgabe Nr. 2 – ISMS-Umfang definieren

Sehen Sie sich den Artikel von Compleye an,  ‘Wie schreibt man eine ISO 27001 Umfangserklärung (+3 Beispiele)’.

4. alle Risiken und Chancen darstellen

Aufgabe 1 – Lieferantenübersicht

Bei der Implementierung einer Reihe von Kontrollen und Prozessen zur Bewältigung der Risiken von Lieferanten könnten folgende Punkte berücksichtigt werden:

• Vertragliche Vereinbarungen mit den einzelnen Lieferanten treffen.
• Führen einer aktuellen und leicht zugänglichen Liste von Lieferanten.
• Ausarbeitung eines Dokuments über die Grundsätze und Verfahren des Lieferantenmanagements.
• Implementierung von Prozessen und Kontrollen zur Verwaltung von Lieferantenänderungen.
• Sicherstellen, dass die Lieferanten die vertraglichen Anforderungen an die Informationssicherheit erfüllen. 
• Bestimmen und ggf. angemessen dokumentieren, ob Lieferanten Zugang zu Ihrer IT-Infrastruktur haben. 
• Bestimmen und ggf. angemessen dokumentieren, ob Lieferanten in Sicherheitsverfahren einbezogen werden können.
• Die Durchführung der entsprechenden Risikobewertung für Lieferanten.

To do #2 – Lieferantenbewertung

Die Lieferantenbewertung ist ein sehr wichtiges Thema in ISO 27001, insbesondere für Technologieunternehmen, da sie auf so viele Lieferanten zurückgreifen. Sie müssen die Kontrolle über Ihre Zulieferer haben – bewerten Sie die Zulieferer mit hohem Risiko jährlich zu einer Reihe von Themen. Der Eigentümer des Zulieferers muss den Zulieferer auf grundlegende Informationen und Verträge hin überprüfen.

>

Aufgabe Nr. 3 – Bewertung des Lieferanten

Folgen Sie den folgenden Schritten:

• Überprüfen Sie die vorhandenen Anbieter.
• Jedem Anbieter eine Sicherheitsbewertung zuweisen.
• Reagieren Sie auf Sicherheitsrisiken und definieren Sie Leistungskennzahlen für die Anbieter.
• Kontinuierliche Überwachung der Anbieter.

To do #4 – Datenklassifizierung

Im Kontext der Informationssicherheit basiert die Klassifizierung von Daten auf ihrem Vertraulichkeitsgrad und den Auswirkungen auf die Organisation, sollten diese Daten unbefugt offengelegt, verändert oder zerstört werden. Beachten Sie bei der Klassifizierung Ihrer Informationen die folgenden Fragen:

• Welche Stakeholder-Daten sammelt Ihre Organisation?
• Welche Daten erstellen Sie im Rahmen der täglichen Arbeit?
• Welche Daten hätten bei einem Verlust besondere Auswirkungen auf Ihr Unternehmen?
• Welche Daten würden als vertraulich eingestuft werden?
• Welche Daten sind als personenbezogene Daten einzustufen?
• Wer ist für die Integrität und Richtigkeit der Daten verantwortlich?
• Wer kann und soll auf die Daten zugreifen?

To do #5 – Geschäftskontinuitätsplan

Wir bei Compleye raten Ihnen, den BCP vor dem internen Audit und der Managementbewertung durchzuführen, da diese Bewertung wahrscheinlich zu den letzten Verbesserungen führt, die Sie brauchen, um für die Zertifizierung bereit zu sein.

Alternativ dazu können Sie den BCP zweimal durchführen: erstens, wenn Sie mit der Implementierung Ihres ISMS beginnen, und zweitens, vor dem externen Audit.

To do #6 – ISRA

Die Risikobewertung der Informationssicherheit (ISRA) ist die wichtigste Risikobewertung im ISMS und  muss mit Ihrem ISMS-Team durchgeführt werden. Sie müssen jährlich eine ISRA durchführen und dabei jedes Jahr dieselbe Methode anwenden, damit Sie die Ergebnisse vergleichen können.  

Zu tun #7 – DRP & PEN Tests

Hier ist eine schnelle Übung zur Definition Ihrer Krise/Katastrophe DRP: 

Definieren Sie, was Sie (für Ihr Unternehmen) als: 

• Ein Ereignis 
• Ein Ereignis
• Eine Katastrophe / Krise

Wenn es um Pentesting geht, sagt Breachlock es am besten mit dieser großartigen Infografik:

To do #8 – GDPR Assessment

GDPR-Risiken und Chancen gibt es viele. Drei davon können in diesem umfassenden Comforte-Artikel erkundet werden: “Three Risks and Opportunities of GDPR”.

Compleye Online bietet eine GDPR-Bewertungsvorlage mit 22 Fragen an.

To do #9 – Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung kann erforderlich sein, wenn Sie mehrere Produkte haben: Führen Sie eine Datenschutz-Folgenabschätzung für jedes Produkt (oder jede Dienstleistung) durch.

;Wenn Sie mit verschiedenen Projekttypen arbeiten (z.B. Proof of Concept), müssen Sie auch eine neue Datenschutz-Folgenabschätzung für jedes Projekt durchführen.

;Wenn Sie Geschäfte mit z.B. staatlichen Organisationen machen, werden diese Sie wahrscheinlich bitten, eine Kopie Ihrer Datenschutz-Folgenabschätzung zu übermitteln.

5. Entscheiden Sie über Sicherheitsrichtlinien & Verfahren

To do #1 – Sicherheitsrichtlinien & Verfahren

Bevor Sie Datensätze hinzufügen können, müssen Sie Policies & Procedures einführen. Eine der nach ISO 27001 obligatorischen Richtlinien ist die Sicherheitspolitik – sie beschreibt die Absichten und Ziele, die Sie für Ihr ISMS definiert haben.

Zu tun #2 – Vorlagen

Es gibt zahlreiche verbindliche Richtlinien und Verfahren, die in Ihrem ISMS implementiert werden müssen. Die Erstellung dieser Dokumentation kann zeitaufwändig sein, und Sie sind möglicherweise nicht sicher, dass Sie alle erforderlichen Punkte abgedeckt haben. Die Verwendung von Vorlagen, wie sie z. B. von einem Online-Tool wie Compleye Online bereitgestellt werden, bietet Ihnen die Anleitung, die Sie benötigen, um die Anforderungen für eine Zertifizierung zu erfüllen

Zu tun #3 – Checklisten

Ihr ISMS muss kontinuierlich verbessert und gewartet werden

Die Erstellung von Checklisten ist eine schlanke Methode, um den Überblick über Aktivitäten und Schritte bei der Durchführung von Verbesserungs- und Wartungsverfahren zu behalten. 

6. ein System für Maßnahmen und Kontrollen einrichten

To do #1 – Sicherheitsmetriken

Sicherheitsmetriken sind ‘KPIs’, die definiert werden, um zu überprüfen, ob das Informationssicherheitsmanagementsystem effektiv funktioniert

Das müssen Sie tun:

• Definieren Sie, was ein Vorfall ist;
• Behalten Sie den Überblick über Ihre Vorfälle;
• Behandeln Sie Vorfälle mit Abhilfemaßnahmen;
• Gehen Sie der Ursache auf den Grund, um festzulegen, wie Sie das Problem in Zukunft verhindern wollen.
• Behalten Sie den Überblick über Ihre Service Levels.

To do #2 – Asset Management

Hardware-Assets, die Informationen, Server und Daten tragen, sind allesamt Vermögenswerte. Um diese zu verwalten, müssen Sie den Überblick über alle Ihre Anlagen behalten und wissen, welche Anlagen verwendet werden und ob sie sich im Besitz des Unternehmens befinden. Außerdem müssen Sie Änderungen und die Bewegung von Vermögenswerten im Auge behalten.

Zu tun #3 – Kontrollen

Anhang A besteht aus 114 Steuerelementen. Sie müssen Steuerelemente einführen, implementieren und pflegen.  Es gibt 2 Möglichkeiten, wie Sie Steuerelemente definieren und implementieren können: 

• Nehmen Sie die ISO 27001 Anhang A Liste und definieren Sie alle Kontrollen am Anfang;  
• Definieren Sie schrittweise Kontrollen, während Sie auf die Zertifizierung hinarbeiten und Richtlinien/Verfahren einführen oder Bewertungen durchführen. Überprüfen Sie, ob alle Anhang-A-Kontrollen am Ende vorhanden sind.  

Zu tun #4 – Zugriffsverwaltung

Zugangsmanagement im Allgemeinen ist ein wichtiges Thema für Ihr ISMS. Wenn Sie den Zugriff auf Software nicht unter Kontrolle haben, kann es leicht zu Zwischenfällen kommen, die sich zu Datenschutzverletzungen auswachsen.
Sie benötigen eine Zugriffsmanagement-Richtlinie und müssen die Kontrolle über die verschiedenen Arten des Zugriffs haben:

• Zugang zum Bürostandort 
• Zugang zur Hardware 
• Zugang zu Software 
• Zugang zum Dokumentenspeicher 
• Zugang zu den Daten insgesamt 

7. operative Kontrollpunkte und Folgemaßnahmen einführen

To do #1 – Sicherheitsbesprechungen

Während der Sicherheitsbesprechungen mit Ihrem ISMS-Team können Sie Entscheidungen zu allen Themen im Zusammenhang mit Ihrem ISMS treffen

Aufgabe Nr. 2 – Handlungsaufrufe für Folgemaßnahmen

Sicherheitsbesprechungen sind ein obligatorischer Bestandteil des operativen ISMS, bei denen sich das Team abstimmt, regelmäßige Überprüfungen durchführt, gemeinsam an Aufgaben und der Planung arbeitet usw. Alle Folgeaufgaben, die vom ISMS-Team zu erledigen sind, werden im Anschluss an die Sicherheitssitzung in Form von Aufforderungen zum Handeln definiert

8. sich um Rollen, Verantwortlichkeiten, Führung und Management kümmern

Aufgabe 1 – ISMS-Rollen zuweisen

ISO 27001 erfordert, dass Sie ein ISMS-Team für den Aufbau, die Implementierung und die Wartung haben.

;Sie müssen auch einen Überblick über alle Teammitglieder haben, damit Sicherheit und Datenschutz rund um Personen und Prozesse geschaffen werden können.

To do #2 – Mandatory Security Roles zuweisen

Wir raten Ihnen, damit zu beginnen, mindestens 2 Teammitglieder zu benennen, die für Ihr ISMS verantwortlich sind.achten Sie immer darauf, dass Ihr ISMS über technisches und geschäftliches Wissen verfügt.  

Bestimmen Sie auch einen Sicherheitsbeauftragten (SO), Datenschutz beauftragten (PO) und Compliance-Beauftragten (CO).  

To do #3 – Sicherheit im Büro

Wenn du ein Büro hast, bist du für die physische Sicherheit deines Büros verantwortlich und dafür, dass du den Überblick darüber behältst, wer Zugang zum Büro hat (mit Schlüssel/Karte/Code).

To do #4 – Neueinstellungen und Verträge

Wenn Sie Mitarbeiter einstellen, erwartet die ISO 27001, dass Sie die Anzahl der Teammitglieder, ihre Jobtitel und die Person, die die einzelnen Personen leiten/betreuen wird, unter Kontrolle haben.sie müssen die Kontrolle über Ihre Arbeitsverträge haben.

Wenn Sie sich in der Skalierungsphase befinden, ist es praktisch, wenn Sie Ablaufdaten usw. an einem Ort haben.

Zu tun #5 – Schulung

Sie müssen Folgendes tun:

• Darstellen, wie Sie die Entwicklung der Kompetenzen Ihrer (ISMS-)Teammitglieder unterstützen.
• Organisieren Sie jährliche Schulungen zum Sicherheitsbewusstsein. 
• Nachweisen, was auf der Tagesordnung stand und wer an der Schulung teilgenommen hat. 
• Auswertung der Schulung durchführen.

To do #6 – HR & Organisation

ISO-spezifische Anforderungen an HR/Organisation umfassen:

Kapitel 5: Verantwortlichkeiten der obersten Leitung

• Führungsstärke und Engagement demonstrieren 
• Einführung der Sicherheitspolitik
• Einrichtung und Kommunikation von Verantwortlichkeiten und Befugnissen für ISMS-Rollen

Kapitel 7: Ressourcen – Bestimmen und Bereitstellen der Ressourcen, die für die ISMS-Implementierung, Wartung & kontinuierliche Verbesserung benötigt werden.

• Fokus auf die Kompetenzen, die für die Ausübung der Tätigkeit erforderlich sind
• Alle ISMS-Teammitglieder sollten sich ihrer Verantwortung und ihres Beitrags zu einem wirksamen ISMS bewusst sein
• Bestimmen Sie, was, wann und wie die Prioritäten des ISMS intern und extern kommuniziert werden sollen
• Bestimmen und pflegen, was dokumentiert werden muss (in Übereinstimmung mit dieser Norm).

9. Vorbereitung auf die eigentliche ISO 27001-Zertifizierung

To do #1 – Internes Audit

Ziel des internen Audits ist es, sicherzustellen, dass Ihr ISMS mit den eigenen Anforderungen Ihrer Organisation (Informationssicherheitspolitik, Verfahren, Sicherheitsziele usw.) sowie den Anforderungen der ISO 27001 übereinstimmt, und zu bewerten, ob das ISMS wirksam umgesetzt und gepflegt wird. Lesen Sie unseren Artikel ‘Es ist Zeit für ein internes Audit’, um mehr zu erfahren

To do #2 – Management Review

Ein Management Review wird jährlich durchgeführt, und Sie müssen eine Person benennen, die für die Überprüfung verantwortlich ist. Der Prozess ist zwar komplex, lässt sich aber in drei Schritten abwickeln:

• MT/CEO Meeting ist geplant, um alle Themen und Verbesserungsvorschläge zu diskutieren.
• MT/CEO legt die endgültigen Verbesserungen fest und nimmt sie an.
• MT/CEO schließt den Management-Review-Bericht ab und genehmigt ihn, der bei der externen Prüfung als Nachweis vorgelegt wird.

To do #3 – Dokumentation

Neben den obligatorischen Richtlinien, Verfahren und Aufzeichnungen gibt es 4 obligatorische Dokumente, die für die Zertifizierung durch ein externes Audit verfügbar und bereit sein müssen: 

• Management Review
• Interner Prüfungsbericht
• Geltungsbereich des ISMS 
• Erklärung zur Anwendbarkeit

Zu tun #4 – Erklärung zur Anwendbarkeit

Die Anwendbarkeitserklärung ist eine Zusammenfassung des Umsetzungsstatus Ihrer Organisation für jede der 114 Kontrollen des Anhangs A der ISO 27001 und muss definieren, welche Kontrollen von Ihrer Organisation identifiziert wurden, um die mit dem Unternehmen verbundenen Risiken zu bewältigen. Dies kann durch die Durchführung einer ISO 27001-Lückenanalyse und Risikobewertung erfolgen.

10. Organisieren Sie ein Echtzeit-Audit zur ISO 27001-Zertifizierung 

To do #1 – Akkreditierter Lead Auditor

Wenn Sie bereit für ein Audit sind, beauftragen Sie einen akkreditierten Lead Auditor. Die leitenden Prüfer haben eine umfassende Schulung durchlaufen, so dass Sie sich in guten Händen befinden.

Aufgabe Nr. 2 – Plan zur Aufrechterhaltung der Zertifizierung

Nachdem eine Organisation die ISO 27001-Zertifizierung erhalten hat, ist es wichtig, das Informationssicherheits-Managementsystem (ISMS) kontinuierlich aufrechtzuerhalten, um sicherzustellen, dass es wirksam, relevant und auf die Ziele der Organisation abgestimmt bleibt. Hier kommt das Compleye ISO 27001 Wartungspaket ins Spiel.

Sie sind bereit, Ihre vollständige Checkliste für die ISO 27001-Konformität (2023)

abzuhaken

Erfahren Sie mehr darüber, wie Compleye Sie bei Ihrer ISO 27001-Konformität unterstützen kann.

Chatten Sie mit einem unserer hervorragenden Vertriebsmitarbeiter und haken Sie Ihre komplette Checkliste für die Einhaltung der ISO 27001 ab.