Welche Dokumente sind für ISO 27001 zwingend erforderlich?

Die Liste der dokumentierten Informationen für die ISO 27001-Zertifizierung ist sehr lang. Allerdings sind nicht alle Unterlagen obligatorisch, und Ihr Prüfer wird nicht unbedingt alles, was Sie zusammengetragen haben, unter die Lupe nehmen wollen. Aber, wie wir immer sagen, besser sicher und zertifiziert, als dass es einem leid tut.

Wir haben eine Liste der obligatorischen Dokumente zusammengestellt, um Ihnen den ersten Schritt auf Ihrem Weg zur Zertifizierung zu erleichtern.

Doch zunächst möchten wir Ihnen einige Fragen zu anderen obligatorischen Elementen der ISO 27001 beantworten.

Wie viele obligatorische Anforderungen sind für ISO 27001 erforderlich?

Laut Compleye’s at-a-glance list, gibt es 8 Anforderungen für die ISO 27001 Zertifizierung:

1. Implementierung eines Sicherheitsmanagementsystems (ISMS)
2. Durchführen einer Risikobewertung
3. Sicherheitspolitik und -verfahren entwickeln
4. Kontrollen zur Minderung der festgestellten Risiken einführen
5. Überwachung und Überprüfung der Wirksamkeit des ISMS
6. Aufzeichnungen über das ISMS führen
7. Kommunikation des ISMS an alle Mitarbeiter
8. Schulung der Mitarbeiter im Hinblick auf das ISMS

Wie viele obligatorische Klauseln gibt es in ISO 27001?

Die ISO 27001 besteht aus zwei Teilen. Teil 1 (der obligatorische Teil) besteht aus 11 Klauseln, die von Klausel 0 bis Klausel 10 reichen

Teil 2, auch bekannt als Anhang A, enthält 114 (ja, Sie haben richtig gelesen, einhundertvierzehn!) Kontrollen. Um diese Kontrollen herum werden Sie Ihre Anwendbarkeitserklärung (Statement of Applicability, SoA) strukturieren. 

Ist ein internes Audit für ISO 27001 obligatorisch?

Ja. Und wenn Sie darüber nachdenken (oder auch nicht), ist dies absolut sinnvoll, denn ein Audit hilft Ihnen auch zu überprüfen, ob Ihr ISMS so funktioniert, wie es sollte;

In unserem Artikel ‘Es ist Zeit für ein internes Audit‘ gehen wir auf das Innenleben des internen Audits ein. 

Ist das ISMS-Handbuch ein Pflichtdokument?

Ein ISMS-Handbuch ist nicht zwingend erforderlich, wird aber dringend empfohlen. Ein ISMS-Handbuch ist Teil einer umfassendenRisikomanagementstrategie. Es ist eine All-in-One-Lösung, um alle Ihre Dokumente zu speichern und schnell und einfach nachschlagen zu können.

Apropos Dokumente: Hier ist die versprochene Liste:

Pflichtdokumente nach ISO 27001

Obwohl es keine offizielle Liste der obligatorischen Dokumente für ISO 27001 gibt, möchten wir Ihnen aufzeigen, welche Dokumente Sie auf jeden Fall sammeln sollten. Die Liste, auf die wir uns konzentrieren, ist die folgende:

• Geltungsbereich des ISMS
• Informationssicherheitspolitik und Ziele
• Methodik der Risikobewertung und Risikobehandlung
• Erklärung zur Anwendbarkeit
• Risikobehandlungsplan
• Risikobewertungsbericht
• Definition von Sicherheitsrollen und Verantwortlichkeiten
• Inventarisierung der Vermögenswerte
• Zulässige Verwendung von Vermögenswerten
• Zugangskontrollpolitik
• Betriebsverfahren für das IT-Management
• Grundsätze der sicheren Systemtechnik
• Sicherheitspolitik des Lieferanten
• Vorgehensweise bei Unfällen
• Verfahren zur Aufrechterhaltung des Geschäftsbetriebs 
• Gesetzliche, gesetzliche und vertragliche Anforderungen

Schauen wir uns diese Dokumente genauer an und erläutern wir den Kontext der einzelnen Dokumente. Auf diese Weise erhalten Sie eine bessere Vorstellung davon, was Sie erwartet.

Geltungsbereich des ISMS (Klausel 4.3)

Hier erfahren Ihre Interessengruppen genau, welche Bereiche Ihres Unternehmens von Ihrem ISMS abgedeckt werden. Um Ihren Interessengruppen Klarheit zu verschaffen, können Sie neben dem Geltungsbereich Ihres ISMS auch eine Vision und/oder eine Strategie angeben. Denken Sie daran, dass Ihr dokumentierter ISMS-Umfang der Schlüssel zu einer erfolgreichen Zertifizierung ist. 

Informationssicherheitspolitik und -ziele

Die oberste Leitung muss eine Informationssicherheitspolitik aufstellen, die für den Zweck Ihrer spezifischen Organisation relevant ist (also kein Abschreiben von Ihrem Kumpel hier, Leute!). Die Politik zeigt, dass die oberste Leitung sich den Zielen des ISMS und ihrer kontinuierlichen Verbesserung verpflichtet fühlt;

Methodik der Risikobewertung und -behandlung

Sie müssen darlegen, wie Sie Ihre Informationsrisiken identifizieren, analysieren, bewerten und nach Prioritäten ordnen. Entscheiden Sie, was für Ihre Organisation angemessen ist, und schreiben Sie es in einen Bericht, eine Liste, eine Matrix oder ein anderes überzeugendes Dokument, das zeigt, wie Ihre Risiken kontrolliert werden. 

Bestätigung der Anwendbarkeit

Ein SoA macht Ihren Prüfer glücklich wie eine Muschel. In seinem Artikel‘The Benefits of the Statement of Applicability in ISMS Projects’, erklärt Jayakumar Sundaram, dass die SoA “das wichtigste Bindeglied zwischen Risikobewertung und Risikobehandlung” ist. Die SoA ist ein ständig aktualisiertes und kontrolliertes Dokument, das einen Überblick über die Umsetzung der Informationssicherheit bietet.” Wir hätten es selbst nicht besser sagen können. 

Risikobehandlungsplan

In Abschnitt 6.1.3 wird erläutert, was Sie tun müssen, um einen Risikobehandlungsplan zu erstellen. Kurz gesagt, Sie müssen einen Prozess/Verfahren für die Behandlung von Informationsrisiken bereitstellen und zeigen, dass der Prozess effektiv funktioniert. So einfach ist das! 

Risikobewertungsbericht

Wenn die Risiken identifiziert sind, sollten Sie herausfinden, welche Risiken weiter bewertet werden müssen und wie die Bewertungen ausgelöst werden. Laut Info-Savvy sollte “Eine umfassende Risikobewertung der Informationssicherheit sollte mindestens einmal jährlich durchgeführt werden.”

Definition von Sicherheitsrollen und Verantwortlichkeiten

Es gibt verschiedene Möglichkeiten, wie Sie Rollen und Verantwortlichkeiten klar darstellen können. Sie können einen Blick aufdas RASCI-Diagramm im ISO27001-Toolkit werfen. 

Inventarisierung der Vermögenswerte

Nein, Sie müssen nicht Ihre Kaffeemaschine und Ihren Wasserkühler auflisten, sondern nur Ihre IT-Anlagen sowie deren Manager/Eigentümer. 

Zulässige Nutzung von Vermögenswerten

Es ist von entscheidender Bedeutung, dass Sie Richtlinien (und Schulungen) für die Nutzung der IT-Ressourcen Ihres Unternehmens haben und festlegen, wer sie nutzen darf. Jeder, auch Auftragnehmer und Zeitarbeiter, sollte Zugang zu den Regeln für die Nutzung Ihrer IT-Ressourcen haben. Vielleicht möchten Sie auch Richtlinien für die Nutzung der Kaffeemaschine und des Wasserspenders aufstellen.&nbsp

Zugangskontrollpolitik/Zugangsmanagementpolitik

Die Kombination einer allgemeinen Zugangskontrollpolitik mit spezifischen Richtlinien für den kontrollierten Zugang in Bezug auf Passwörter, Firewalls, VPNs usw. ist eine ausgezeichnete Idee. Alle diese Richtlinien sollten regelmäßig überprüft und überarbeitet werden. 

Betriebsverfahren für das IT-Management

Hochwertige, leicht lesbare und verständliche Betriebsverfahren sollten erstellt, verbreitet und gepflegt werden.

Grundsätze der sicheren Systemtechnik

Kontrolle 8.27 ist eine präventive Kontrolle. Sie stellt sicher, dass Sie Bedrohungen für die CIA beseitigen. Nein, nicht das! Die Vertraulichkeit, Integrität und Verfügbarkeit Ihrer Informationsbestände;

Lieferantensicherheitspolitik aka Lieferantenmanagementpolitik 

Während Sie (fast) alles kontrollieren können, was innerhalb Ihrer Organisation geschieht, liegt die Sicherheit Ihrer Lieferanten außerhalb Ihrer Kontrolle. Vergewissern Sie sich daher, dass diese über eigene Sicherheitsrichtlinien verfügen;

Verfahren zum Umgang mit Unfällen

ISO 27001 definiert einen Sicherheitsvorfall als “ein unerwünschtes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen gefährden könnte.” Unabhängig davon, ob es sich um einPhishing-Ereignis oder eine Verletzung des Computersystems handelt, sollte das Verfahren für den Umgang mit einem Vorfall die rasche Sammlung von Beweisen, eine forensische Analyse, die Kommunikation über den Vorfall und, wie bei allen ISO-Produkten, die Aufbewahrung von Aufzeichnungen umfassen. 

Business-Continuity-Verfahren 

Unabhängig davon, wie schwerwiegend Ihr Unternehmen von einem Sicherheitsvorfall oder -ereignis betroffen ist, müssen Sie in der Lage sein, die wesentlichen Funktionen aufrechtzuerhalten und denWeg zur Zertifizierung weiter zu beschreiten. Das Business Continuity Management ist ein Ableger des Krisenmanagements und sollte durch Strategien, Richtlinien, Pläne, Verfahren und Berichte dokumentiert werden. 

Gesetzliche, regulatorische und vertragliche Anforderungen

Ah, Anhang A.18.1, diese knifflige Klausel, die so vielen ISO-Hoffnungen einen Strich durch die Rechnung macht! Die Unternehmen sind sich gar nicht bewusst, wie viele Gesetze und Vorschriften sie betreffen. Aber Ihr freundlicher Auditor möchte wissen, wie Sie Ihre gesetzlichen, behördlichen und vertraglichen Verpflichtungen erfüllt haben. 

Pflichtaufzeichnungen nach ISO 27001

Aufzeichnungen über Schulungen, Fähigkeiten, Erfahrungen und Qualifikationen

Die Verwaltung eines ISMS ist kein Kinderspiel. Sie brauchen ein Team, das nicht nur aus der Sicht der Sicherheit, sondern auch aus der Sicht der Personalabteilung, der Rechtsabteilung, der Geschäftsabteilung und der IT-Abteilung (die Liste ließe sich fortsetzen) über die entsprechenden Fähigkeiten und Schulungen verfügt. Um die Einhaltung der Vorschriften nachzuweisen, können Sie (ganz) einfach eine Tabelle erstellen, aus der hervorgeht, wer beteiligt ist, was sie tun und welche Erfahrung sie haben;

Überwachungs- und Messergebnisse 

Dieser Beitrag des IKT-Instituts erklärt Klausel 9.1 am besten. “Überwachen ist das Beobachten von Daten, die während eines Prozesses oder durch ein System erzeugt werden. Messen hingegen setzt voraus, dass die Daten durch eine Aktion erhoben werden. Sie können zum Beispiel die Verfügbarkeit Ihrer Website überwachen, indem Sie die prozentuale Betriebszeit Ihres Webservers mit Hilfe eines Dashboards überprüfen, oder messen, indem Sie zählen, wie viele Berichte über Serverabstürze in Ihrem Ticketingsystem erstellt wurden.” Macht Sinn, oder?

Internes Audit-Programm 

Wie bereits erwähnt, brauchen Sie ein internes Audit, wie die Wüste den Regen braucht (irgendwo ist da ein Lied drin). Und Sie brauchen es regelmäßig, um sicherzustellen, dass Ihr ISMS (Informationssicherheits-Managementsystem) weiterhin den ISO 27001-Normen entspricht, und um kontinuierliche Verbesserungen zu ermöglichen.

Ergebnisse der internen Audits 

Es hat keinen Sinn, ein internes Audit durchzuführen, wenn Sie die Ergebnisse nicht festhalten. Der Bericht sollte enthalten:

• Überprüfungen der Dokumentation 
• Stichproben der Nachweise
• Interviews mit wichtigen ISMS-Mitarbeitern 
• Interviews mit anderen Mitarbeitern und sogar externen Auftragnehmern
• Befundbewertungen

Ergebnisse der Managementbewertung

Es versteht sich von selbst (aber wir sagen es trotzdem), dass der Zweck eines Management-Reviews darin besteht, die oberste Leitung zu informieren und ihr nachzuweisen, dass das implementierte ISMS und seine Ziele weiterhin Anzeichen von Effektivität, Transparenz und Integrität aufweisen.&nbsp

Ergebnisse der Abhilfemaßnahmen

Sobald ein Risiko erkannt wurde, müssen Korrekturmaßnahmen ergriffen werden. Die Maßnahmen (von der Entdeckung bis zur Korrektur) sollten dokumentiert werden, manchmal durch Register, in einer Weise, die zeigt, dass die getroffenen Abhilfemaßnahmen wirksam waren.

Protokolle von Benutzeraktivitäten, Ausnahmen und Sicherheitsereignissen

Bei der Protokollierung von Aktivitäten, Ausnahmen und Ereignissen ist daran zu denken, dass private, sensible und/oder persönliche Informationen in Ereignisprotokollen verwendet werden könnten, so dass Maßnahmen zum Schutz der Privatsphäre angemessen umgesetzt werden müssen. Keine Ausnahmen! 

Hilfe bei der Sammlung der obligatorischen ISO 27001-Dokumente 

Seien Sie sich bewusst, dass Ihr Prüfer sich aussuchen wird, was er sehen will. Um Ihr Audit so einfach wie möglich zu gestalten, bereiten Sie sich am besten darauf vor, indem Sie sicherstellen, dass Sie alle richtigen Dokumente haben und dass diese sortiert, abgeheftet und indiziert sind, damit sie leicht zugänglich sind;

Am besten nutzen Sie eine Online-Plattform, die Ihnen die Anleitung und die Werkzeuge bietet, die Sie für die Zertifizierung benötigen;

Buchen Sie eine Demo mit Compleye, um zu sehen, wie wir Ihnen bei der Erfassung Ihrer ISO 27001 Pflichtdokumente helfen können.