ISO 27001 Scope Statement… hört sich viel größer an, als es ist. Tatsächlich ist die Erstellung einer solchen Erklärung recht einfach. In diesem Leitfaden zur Umfangsangabe erklären wir Ihnen das Was, Wie und Warum beim Verfassen einer ISO 27001 Umfangsangabe.
Wir haben einige Beispiele, eine Vorlage zum Herunterladen und ein supercooles und informatives Video mit unserer eigenen Compliance-Innovatorin, Mari E. Curious, hinzugefügt.
Was kann man sich mehr wünschen?
Warum braucht man ein Scope Statement?
In ihrem Artikel ‘ISO IEC 27001 Zertifizierung‘ erklärt der TÜV, dass Organisationen ein ISMS implementieren, um:
“Geschäftskritische Daten zu schützen, Risiken zu vermindern und einen stabilen Betrieb zu gewährleisten, den Interessengruppen und Kunden Vertrauen zu geben.”
Die Erklärung zum Geltungsbereich der ISO 27001 ist ein Bekenntnis zu diesem Ziel und spiegelt es wider. Darüber hinaus ist sie nicht nur die einzige obligatorische Information, die Sie im Rahmen des Anwendungsbereichssegments der Norm bereitstellen müssen, sondern auch die wichtigste.
Nach Best Practice Biz ist das Konzept hinter dem Scope-Statement, dass man folgendes versteht:
- Gesetze und Vorschriften, an die Sie sich halten müssen
- Schnittstellen und Abhängigkeiten, die Sie mit anderen Modellen haben
- Interne und externe Aspekte, die für die Informationssicherheit Ihres ISMS relevant sind
- Prozesse und Sicherheitskontrollen, die für den Betrieb Ihres Unternehmens erforderlich sind’
Das ISO 27001 Scope Statement definiert:
- Was Ihr Unternehmen tut.
- Welche wichtigen Informationen werden durch das ISMS abgedeckt.
- Warum Sicherheit für Ihre Organisation wichtig ist.
- Welche Bereiche Ihres Unternehmens sind zertifiziert.
Das ist es, was auf Ihrem ISO 27001-Zertifikat für alle Welt (nun, nicht alle die Welt, aber Sie wissen, was wir meinen) zu sehen ist.
Kurz gesagt, es geht darum, was Ihren Kunden wichtig ist, wenn es um Sicherheit geht.
Was ist der Geltungsbereich von ISO 27001?
Der Geltungsbereich der ISO 27001 definiert alles, was durch Ihr ISMS geschützt wird – von Daten bis zu Produkten, Prozessen bis zu Dienstleistungen, Systemen bis zu geografischen Gebieten. Er definiert auch alles, was nicht geschützt ist.
Um den Geltungsbereich Ihrer Organisation korrekt zu erstellen, müssen Sie die Grenzen und die Anwendbarkeit des ISMS festlegen.
Das bedeutet, dass Sie alle externen und internen Aspekte, die in Abschnitt 4.1 der Norm ISO 27001 definiert sind, untersuchen, die Bedürfnisse und Erwartungen der interessierten Parteien (4.2) verstehen und die Verbindungen zwischen den Aktivitäten Ihrer Organisation und den externen Organisationen bestimmen müssen.
Die Untersuchung und das Verständnis, welche Teile des Unternehmens an der Erstellung, dem Zugriff oder der Verarbeitung Ihrer wertvollen Informationsbestände beteiligt sind, sowie die Durchführung einer Risikobewertung werden Sie bei der Festlegung des Umfangs Ihres ISMS auf dem richtigen Weg halten.
Warum ist die Festlegung des Geltungsbereichs Ihrer ISO 27001-Norm so wichtig?
Was auch immer in Ihren Geltungsbereich fällt, muss von Ihrem ISMS abgedeckt werden; was auch immer außerhalb des Geltungsbereichs liegt, muss nicht von Ihrem ISMS abgedeckt werden.
Wenn Sie also etwas aus dem Geltungsbereich herauslassen, das eigentlich in den Geltungsbereich gehören sollte, könnten Sie am Ende unerwünschte Sicherheitsprobleme, ungeschützte Daten und unzufriedene Kunden und/oder Interessengruppen haben
Wenn Sie etwas in den Geltungsbereich aufnehmen, das dort nicht hingehört, machen Sie Ihrem Team nur noch mehr Arbeit und geben möglicherweise Geld aus, das Sie nicht wirklich brauchen. Außerdem ist ein zu breiter Geltungsbereich nicht flexibel genug, um Änderungen bei Technologien und Funktionen zu berücksichtigen
Wie schreibt man ein Scope Statement für ISO 27001?
Die Erklärung zum Geltungsbereich ist eine Zusammenfassung Ihres Geltungsbereichs und sollte Ihren Kunden verdeutlichen, dass das, was sie von Ihnen kaufen, egal ob es sich um ein Produkt oder eine Dienstleistung handelt, von Ihrem ISMS abgedeckt wird.
Beantworten Sie beim Verfassen Ihrer Erklärung zum Geltungsbereich außerdem die folgenden Fragen:
- Was macht meine Organisation?
- Welche Produkte oder Dienstleistungen fallen in den Geltungsbereich?
- Welche Informationen müssen wir schützen?
- Welche Prozesse sind mit diesen Informationen verbunden?
- Gibt es irgendwelche Ausnahmen (Orte, Prozesse usw.), die aus dem Geltungsbereich herausgenommen werden können?
Lassen Sie uns diese Fragen auf ein fiktives Unternehmen anwenden, um zu sehen, wie sie bei der Formulierung einer Umfangsangabe funktionieren. Wir werden das Unternehmen FindMyPet nennen.
- Was macht meine Organisation?
FindMyPet bringt Haustiere und Besitzer wieder zusammen…
- Welche Produkte oder Dienstleistungen sind im Geltungsbereich?
… mit Scannertechnologie und Mikrochips…
- Welche Informationen müssen wir schützen?
…die persönliche Daten der Kunden (Name, Adresse, Telefonnummer) speichern…
- Welche Prozesse sind mit dieser Information verbunden?
…die auch in einer zentralen Datenbank in unseren Büros in Dogtown gespeichert sind…
- Gibt es irgendwelche Ausnahmen (Orte, Prozesse usw.), die aus dem Geltungsbereich herausgelassen werden können?
…die nur für unsere IT-Abteilung zugänglich ist.
Alles zusammen:
FindMyPet bringt Haustiere und Besitzer mit Hilfe von Scannertechnologie und Mikrochips wieder zusammen, die die persönlichen Daten der Kunden (Name, Adresse, Telefonnummer) in einer zentralen Datenbank speichern, die sich in unseren Büros in Dogtown befindet und nur unserer IT-Abteilung zugänglich ist.
Gebräuchliche Fehler bei der Erstellung einer Erklärung zum Geltungsbereich
Wie bei allem, was mit der ISO zu tun hat, sollten Sie sich immer der potentiellen Fallstricke bewusst sein. Obwohl die Erklärung zum Geltungsbereich ein einfaches und kurzes Stück Arbeit ist, sollte sie präzise und klar sein und alles einschließen, was Sie als schützenswert für das ISMS erachten.
Wenn Sie nicht wissen, welche Informationen Ihre Organisation speichert, verarbeitet und verwaltet, könnte dies dazu führen, dass Sie ein wichtiges Element in Ihrer Erklärung auslassen.
Um sicherzustellen, dass Sie alles über die Daten wissen, mit denen Ihr Unternehmen umgeht, sollten Sie die Teilnahme an professionellen Compliance-Sitzungen
in Erwägung ziehenAlles, was nicht in den definierten Geltungsbereich fällt, gilt als unsicher. Es ist also kein guter Plan, etwas wegzulassen, das Ihr Kunde vielleicht nicht kaufen möchte, weil es nicht zertifiziert wurde
Ihre Zielsetzung sollte weder zu ehrgeizig noch zu zweideutig sein. Setzen Sie sich nicht zu hohe Ziele und beziehen Sie nicht jede Abteilung, jede Person und jeden Datenbestand ein. Gleichzeitig sollten Sie nicht versuchen, Ihre Implementierungskosten zu senken, indem Sie den Umfang einschränken.
Auch zu lesen: Top 10 ISO 27001 Zertifizierungssoftware-Tools
Beispiele für gute ISO 27001 Scope Statements
Um Ihnen den Einstieg in Ihr eigenes Scope Statement zu erleichtern, finden Sie hier einige Beispiele für gute Scope Statements. Wie Sie sehen können, erscheinen sie auf dem ISO 27001-Zertifikat und verweisen auf das Statement of Applicability.
1. Die Erklärung des BSI zum Geltungsbereich von ISO 27001
In unserem ersten Beispiel können Sie deutlich sehen, dass das ISMS des Online Computer Library Center für die Informationssicherheitsaktivitäten im Zusammenhang mit den Verwaltungsdiensten des Unternehmens, der gemeinsamen Nutzung von Ressourcen, den Metadatendiensten, der Suche und dem Verweis sowie dem internen Infrastrukturbericht gilt. Beachten Sie, wie auf die Erklärung zur Anwendbarkeit verwiesen wird.
2. Erklärung zum Geltungsbereich von ISO 27001 von MGM Technology Partners
MGM gibt die Art ihres Geschäfts an (Beratung von Kunden aus dem öffentlichen Sektor, dem Versicherungswesen und dem eCommerce bei der Digitalisierung ihrer Geschäfts- und IT-Prozesse; Softwareentwicklung für geschäftskritische Anwendungen, Managementberatung für Fach- und IT-Abteilungen sowie Testen und Implementieren von Web-Security).
Sie geben jedoch nicht ausdrücklich an, wofür das ISMS gilt. Wir können daher davon ausgehen, dass ihr ISMS alles abdeckt, was mit all ihren Aktivitäten und Produkten zu tun hat.
3. Monday.com’s ISO 27001 Umfangserklärung
Die Erklärung zum Geltungsbereich von Monday.com ist sehr klar. Ihr ISMS gilt für die IT-Betriebsabteilung, die sich mit der Entwicklung, dem Marketing, dem Verkauf, der Werbung, der Unterstützung und dem Design eines Betriebssystems für die Verwaltung der Teamarbeit, der Ausführung von Arbeitsabläufen und Prozessen sowie dem Hosting von Inhalten und Dateien befasst.
ISO 27001 Scope Statement Vorlage (Download)
Wir haben eine grundlegende Vorlage für eine ISO 27001-Erklärung erstellt, die Sie verwenden können.
Diese Vorlage kann entweder als “Lückenfüller” oder als Leitfaden für die Erstellung eines eigenen Scope Statements verwendet werden.
Zögern Sie nicht, schreiben Sie den ISO 27001 Geltungsbereich noch heute!
Letzen Endes braucht man Zeit, um sich kurz zu fassen, also beginnen Sie so bald wie möglich mit der Ausarbeitung Ihres Scope Statements. Denken Sie daran, nicht zu ehrgeizig oder zu zweideutig zu sein, und stellen Sie sicher, dass Sie wissen, welche Informationen Ihr Unternehmen bearbeitet.
Um Hilfe von Fachleuten zu erhalten oder um mit der Nutzung des besten DIY-Compliance-Tools zu beginnen, das derzeit auf dem Markt ist, buchen Sie eine Demo mit Compleye.
