ISO 27001 für Softwareunternehmen: Entwicklung im ISMS abbilden

Softwareentwicklung als Teil des Managementsystems erfassen

Bei Softwareunternehmen sollte das ISMS den tatsächlichen Weg einer Änderung vom Entwicklungsauftrag bis zum Betrieb berücksichtigen. Dabei geht es um den Schutz von Quellcode, Entwicklungsumgebungen und Kundendaten sowie um nachvollziehbare Entscheidungen über Sicherheitsrisiken.

Der Geltungsbereich muss erkennen lassen, welche Produkte, Entwicklungsteams und Betriebsleistungen dazugehören. Externe Komponenten, Entwicklungsdienstleister oder Cloud-Plattformen werden als Abhängigkeiten berücksichtigt.

Entwicklungsprozesse mit Nachweisen verbinden

Nützliche Prüffragen sind:

• Wer darf auf Repositories, Build-Systeme und Produktivumgebungen zugreifen?
• Wie gelangen Sicherheitsanforderungen in die Entwicklungsaufgaben?
• Welche Prüfungen sind vor einer Veröffentlichung vorgesehen?
• Wer bewertet bekannte Schwachstellen und entscheidet über Ausnahmen?
• Wie werden Sicherheitsmeldungen zu veröffentlichten Versionen bearbeitet?

Vorhandene Entwicklungswerkzeuge können geeignete Nachweise liefern. Ein Review-Protokoll, ein Freigabeticket oder eine dokumentierte Behandlung einer Schwachstelle ist häufig aussagekräftiger als eine nachträglich erstellte allgemeine Beschreibung.

Managementanforderungen und Entwicklungspraxis verbinden

Das NIST Secure Software Development Framework bietet eine fachliche Orientierung für sichere Entwicklung. Es ergänzt den Blick auf konkrete Entwicklungspraktiken; es ersetzt weder das ISMS noch die Prüfung gegen ISO/IEC 27001.

Beispiel: Für eine Veröffentlichung bleibt eine bekannte Schwachstelle vorerst offen. Das Team dokumentiert ihre Auswirkungen, vorhandene Begrenzungen und den geplanten Behebungstermin. Die zuständige Person entscheidet über die befristete Ausnahme. Im nächsten Review wird kontrolliert, ob die vereinbarte Bearbeitung erfolgt ist.

Grenzen der Zertifizierung verständlich halten

Ein ISMS-Zertifikat ist keine Garantie, dass ein Softwareprodukt frei von Schwachstellen ist. Es bewertet das Managementsystem im angegebenen Geltungsbereich. Für Kunden sollte deshalb erkennbar bleiben, welche Entwicklungs- und Betriebsprozesse der Nachweis umfasst.

Die Fachseite zur Informationssicherheit in Softwarefirmen konkretisiert Kontrollen für Entwicklung und Releases. Eine Gap-Analyse gegenüber ISO 27001 ordnet anschließend ein, welche Managementanforderungen und Nachweise darüber hinaus betrachtet werden müssen.

Quellen und fachliche Grundlagen

• ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
• NIST SP 800-218 – Secure Software Development Framework, Version 1.1 – National Institute of Standards and Technology (NIST)