ISO/IEC 27001 - 27005

Question 1

Was ist ISO/IEC 27001 - 27005?

Answer 1

• wurde 2005 als Standard für ISMS (Information Security Management Systeme) publiziert
• von ISO (International Organization für STandardization)
• und IEC (Internationa Electrotechnical Commission)
• aktuelle Version: 27001:2022

27002:
- Code of Practice für ISM
- Liste empfehlenswerter Sicherheitsmaßnahmen

• für Erfüllung Zertifikat von zugelassener Prüfungsinstanz

Question 2

weitere ISO/IEC

Answer 2

27003: RiLi-Katalog zur Implementierung ISMS
27004: Standard für Sicherheitsmaßnahmen und Messung Effektivität
27005: Risikomanagement

Question 3

Initiierung des ISM

Answer 3

• Initiierung des ISM erfolgt durch Leitlinien für Risikomanagement
• GrundVss, damit überhaupt IT-Infrastruktur betrieben werden kann ist Systemsicherheit
• Systemsicherheit = auf Ebene Netzwerk, Betriebssystem, Server, Anwendung
• Unternehmen brauchen wirksame SicherheitsRiLi/Policy

Question 4

Sicherheits-Policy im Unternehmen

was können diese RiLi beinhalten?

Answer 4

• bspw. ProgrammierRiLi, Anwendungsdesign, Maßstab Sicherheitstests, Datenschutzanforderungen
• Überprüfung mit Hilfe Compliance: statische Analyse clinet- und serverseitig; automatisierte Penetrationstests

Question 5

ISO 27001

Answer 5

• beschreibt ISMS und Kontrollmaßnahmen mit best-practice
• zZt 14 Control Sections und 114 Controls (Sicherheitsmaßnahmen)
• in Erklärung zur Anwendbarkeit/Statement of Applicability schrifltich aufgeführt, wie 114 Controls erfüllt und wann überprüft
• muss von GF/Vertreter der Leitungsebene unterzeichnet
• erfordert außerdem dauerhaften Betrieb Risikomanagement durch PDCA-Modell + jährl. interne Audits + qualifizierte Schulung Personal

Question 6

Welche Dokumente muss die Dokumentation des ISMS enthalten?

Answer 6

• IT-SichereitsRiLi/IT-Security Policy
• Def. ISMS-Geltungsbereich
• Bericht aktuelle Risikoanalyse
• Plan Behandlung von Risiken
• Verf. Planung, Durchführung, Kontrolle IT-Sicherheitsprozess
• Nachweis Konformität und wirksamer Betrieb ISMS
• Erklärung zur Anwendbarkeit

Question 7

ISO 27001 in PDCA-Prozess

Answer 7

1. Plan
   - Def. IT-SicherheitsRiLi
   - Def. Geltungsbereich
   - Risikoidentifikation + Risikoanalyse
   - Festlegung Ziele + Maßnahmen
   - Erstellung Erklärung zur Anwendbarkeit
2. Do
   - Verf. effektive Implementierung
   - Plan Behandlung Risiken
   - Schulung und Awareness
   - Implementierung ausgewählte Maßnahmen (evtl. aus 27002)
3. Check
   - Testprozeduren
   - periodische Reviews + interne Audits
   - Bewertung Restrisiko
4. Act
   - Bewertung Erfüllungsgrad Anforderungen
   - Verbesserung und Wartung
   - Korrekturen
   - Kommunikation Ergebnisse