ISO 27001 Umsetzung in der IT: Anforderungen im Alltag erfüllen

Sicherheitsanforderungen in den IT-Alltag einbauen

Bei der ISO-27001-Umsetzung werden vereinbarte Regeln zu wiederholbaren Abläufen. Entscheidend ist, dass Mitarbeitende wissen, wann sie handeln müssen, wer entscheidet und welcher Nachweis entsteht. Dafür sollten vorhandene Support-, Entwicklungs- und Betriebsprozesse genutzt werden, soweit sie geeignet sind.

Eine Umsetzung beginnt zweckmäßig mit wenigen klar abgegrenzten Abläufen. So lassen sich Hindernisse erkennen, bevor dieselbe Regel im ganzen Unternehmen ausgerollt wird. Dokumentation und praktische Anwendung werden dabei gemeinsam weiterentwickelt.

Drei typische Abläufe konkretisieren

• Zugriffe: Antrag, fachliche Freigabe, Einrichtung und Entzug von Berechtigungen miteinander verbinden.
• Änderungen: Auswirkungen prüfen, Umsetzung freigeben und für den Fehlerfall einen Rückweg festlegen.
• Sicherheitsvorfälle: Meldungen aufnehmen, Dringlichkeit bewerten, Zuständigkeiten aktivieren und Ergebnisse dokumentieren.

Für jeden Ablauf wird ein realistischer Nachweis festgelegt. Das kann ein Ticket mit Freigabe, ein Prüfprotokoll oder ein dokumentierter Test sein. Entscheidend ist der nachvollziehbare Zusammenhang zwischen Regel und tatsächlichem Vorgang.

Pilotieren, prüfen und nachbessern

Beispiel: Ein IT-Team führt eine neue Freigabe für administrative Rechte ein. Im Pilotbetrieb zeigt sich, dass die benannte Freigabeperson im Bereitschaftsdienst nicht erreichbar ist. Die Lösung besteht in einer geregelten Vertretung oder einem kontrollierten Notfallverfahren. Eine informelle Umgehung würde die neue Regel wirkungslos machen.

Nach der Erprobung werden Ablauf und Hilfsmittel angepasst. Erst dann erfolgt die breitere Einführung. Eine spätere Stichprobe prüft, ob Freigaben vorhanden sind, Rechte zum Bedarf passen und befristete Zugänge tatsächlich enden.

Umsetzung als laufende Aufgabe verstehen

Abgeschlossene Arbeitspakete beenden die Sicherheitsaufgabe nicht. Neue Dienste, geänderte Kundenanforderungen und erkannte Schwachstellen können Anpassungen erforderlich machen. Die Umsetzung ist tragfähig, wenn solche Änderungen im bestehenden ISMS aufgegriffen werden.

Verhaltensregeln für die Umsetzung werden in anwendbaren ISMS-Richtlinien festgehalten. Einzelne Verbesserungen lassen sich über einen Maßnahmenplan mit Wirksamkeitsprüfung verfolgen, statt sie nur als erledigte technische Änderungen abzulegen.

Quellen und fachliche Grundlagen

• ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
• BSI-Standard 200-2 – IT-Grundschutz-Methodik – Bundesamt für Sicherheit in der Informationstechnik