ISO 27001 Beratung für IT-Unternehmen: Norm gezielt umsetzen
Normanforderungen in konkrete Aufgaben übersetzen
ISO-27001-Beratung hilft dabei, die Anforderungen an das Managementsystem auf die tatsächlichen Dienstleistungen eines IT-Unternehmens zu beziehen. Ausgangspunkt sind der beabsichtigte Geltungsbereich, vorhandene Prozesse und das angestrebte Ergebnis. Ein möglicher Zertifizierungswunsch sollte ebenso klar sein wie die Frage, welche Kundenanforderungen erfüllt werden sollen.
Die Norm beschreibt Anforderungen an Aufbau, Betrieb und Verbesserung des ISMS. Welche technischen Lösungen geeignet sind, ergibt sich aus Risiken und Rahmenbedingungen. Der Kauf eines bestimmten Werkzeugs allein belegt daher keine normgerechte Umsetzung.
Vorhandenes prüfen und Lücken zuordnen
Ein zweckmäßiger Abgleich unterscheidet drei Fragen: Gibt es eine Regel? Wird sie angewendet? Lässt sich ihre Anwendung nachvollziehen? So kann ein IT-Unternehmen bestehende Freigaben, Tickets und Prüfprotokolle weiterverwenden, statt parallel eine zweite Dokumentationswelt aufzubauen.
Ein Arbeitsblatt kann beispielsweise folgende Angaben enthalten:
- Anforderung oder Themenbereich;
- vorhandener Prozess und zuständige Person;
- geeigneter Nachweis;
- festgestellte Lücke und notwendige Entscheidung;
- nächste Aufgabe mit Termin und Ergebnis.
Beratungsleistung und Zertifizierungsentscheidung trennen
Dr. Eckhardt + Partner GmbH stellt die Begleitung von der Gap-Analyse bis zur Zertifizierungsvorbereitung als Leistungsbereich dar. Die Beratung kann Unterlagen einordnen, Umsetzungsschritte strukturieren und auf Prüfungen vorbereiten. Die Entscheidung über ein Zertifikat trifft eine unabhängige Zertifizierungsstelle.
Beispiel: Ein Softwareunternehmen führt Codeprüfungen durch, hat aber keine Regel für dringende Ausnahmen. Die Beratung kann helfen, Freigabebefugnisse und Nachweise festzulegen. Ob der Ablauf tatsächlich verwendet wird, muss sich später an realen Änderungen zeigen. Eine neu geschriebene Richtlinie ohne Anwendung löst die Lücke noch nicht.
Von der Normanforderung zum prüfbaren Arbeitsergebnis
Eine praktische Zuordnung kann in vier Feldern erfolgen: Anforderung – vorhandener Ablauf – Nachweis – offene Entscheidung. So wird sichtbar, an welcher Stelle Beratung gebraucht wird.
Beispiel: Das Unternehmen hat festgelegt, dass Zugriffsrechte bei einem Aufgabenwechsel angepasst werden. Der vorhandene Ablauf ist der interne Änderungsauftrag. Als Nachweis dienen abgeschlossene Aufträge mit Freigabe und tatsächlicher Rechteänderung. Offen kann sein, wer Kundenkonten berücksichtigt, die außerhalb der eigenen Benutzerverwaltung liegen.
Damit ist die Aufgabe genauer beschrieben als mit dem Hinweis „Berechtigungsmanagement fehlt“. Der Berater kann den Ablauf strukturieren; die zuständigen Personen müssen die Kundenkonten identifizieren und Änderungen freigeben. Diese Zuordnung lässt sich auch auf Lieferanten, Vorfälle oder interne Prüfungen anwenden. Die konkrete Normanforderung muss jeweils anhand der zutreffenden Ausgabe und des festgelegten Geltungsbereichs geprüft werden.
Die ISO-27001-Gap-Analyse macht den Ausgangsstand sichtbar. Anschließend werden die erforderlichen Dokumente und Nachweise aufgebaut; bei einem Zertifizierungsziel folgt die gesonderte Begleitung des Zertifizierungsverfahrens.
Quellen und fachliche Grundlagen
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
- ISMS-Leistungen von Dr. Eckhardt + Partner GmbH – Dr. Eckhardt + Partner GmbH