Was ist ISO/IEC 27001, einfach erklärt?

ISO/IEC 27001 ist die internationale Norm für den Betrieb eines Informationssicherheits-Managementsystems: eine wiederholbare Art, wie eine Organisation entscheidet, welche Sicherheitsrisiken zählen, sie behandelt und sich laufend verbessert. Sie schreibt keinen bestimmten Werkzeugsatz vor. Stattdessen verlangt sie, Kontext und Pflichten zu verstehen, die Leitung einzubinden und Verantwortung zuzuweisen, Risiken zu bewerten, Maßnahmen zu ihrer Behandlung auszuwählen und zu betreiben, ihre Wirkung zu messen, interne Audits und Managementbewertungen durchzuführen und Mängel zu beheben. Ihr Anhang listet Referenzmaßnahmen, von Richtlinien und Lieferantenmanagement bis zu Protokollierung, Überwachung und Netzsicherheit, und Sie begründen, welche Sie anwenden. Eine Organisation kann sich von einer akkreditierten Zertifizierungsstelle auditieren lassen und ein Zertifikat erhalten, wonach Kunden meist fragen. Die Zertifizierung gilt für einen festgelegten Geltungsbereich; prüfen Sie also immer, welche Standorte, Dienste und Teams das Zertifikat tatsächlich umfasst. Für ein mittelgroßes Unternehmen ist das ein ernsthaftes Projekt, vor allem zu Menschen und Prozessen, weniger zu Technik.

← Alle 15 Fragen zu Sicherheitsstandards: ISO 27001, SOC 2Alle Themen