Informationssicherheit ist heute (über-)lebensnotwendig für Organisationen aller Art. Vertraulichkeit, Integrität und Verfügbarkeit von Information werden zum strategischen Erfolgsfaktor, wenn es um das Vertrauen der Kunden, Geschäftspartner und der Öffentlichkeit geht.
Solche Herausforderungen zu managen, gehört zum Alltag eines jeden KMU. Dabei stehen auch IT- und sicherheitsrelevante Probleme an der Tagesordnung. Die Brandbreite reicht von vergessenen Passwörtern bis hin zur Cyberattacke. Wir erklären, wie systematisch vorgegangen werden kann und wo konkret eine Zertifizierung nach dem Informationssicherheitsstandard ISO/IEC 27001 greift.
Was diese Zertifizierung genau beinhaltet und welche Vorteile sich daraus für unsere Kunden ergeben, erfahren Sie in diesem kurzen Beitrag.
ISO/IEC 27001:2013 ist der weltweit angewendete Standard für die Zertifizierung eines Informationssicherheitsmanagementsystems. Dieses hat zum Ziel, die Informationen basierend auf einer Analyse der Geschäftsrisiken bezüglich Vertraulichkeit, Integrität und Verfügbarkeit zu schützen.
ISO/IEC 27001:2013 beinhaltet aber nicht die Geschäftsprozesse, sondern die Massnahmen zur Sicherstellung der Informationssicherheit.
Organisationen, die ISO/IEC 27001 erfolgreich eingeführt haben, profitieren von:
Diese Vorteile spiegeln sich dementsprechend meistens direkt in unseren Services wider und erhöhen die Qualität unserer Services.
Die Zertifizierung wird als Prozess über drei Jahre abgebildet. Innerhalb dieser Zeitspanne müssen wir die Wirksamkeit unseres Informationssicherheitsmanagementsystems (ISMS) mittels vordefinierter Kontrollen, internen und externen Audits sowie eines Management Reviews beweisen. Abweichungen von definierten Kontrollen werden schriftlich festgehalten und müssen innerhalb eines gewissen Zeitraums während des Überprüfungsjahres behandelt werden. Nach drei Jahren findet eine Rezertifizierung statt, wo nicht nur die Wirksamkeit von Teilsystemen im Detail untersucht wird, sondern das ganze System nochmals auditiert wird.
Das ISMS ist eine Kombination aus organisatorischen sowie technischen Massnahmen und ermöglicht die systematische Aufdeckung von Problemen bezüglich Informationssicherheit.
Die Prüfung findet intern mittels verschiedener selbsternannter Auditoren sowie Externen – durch Vertreter des Swiss Safety Center – statt. (https://www.safetycenter.ch/zertifizierung/systeme-produkte/normen-standards/iso-27001).
Folgendes Bild erklärt unseren Prozess anhand der letzten drei Jahre:
Die Dinotronic AG hat in den letzten drei Jahren einen grossen Schritt in der Professionalisierung von Informationssicherheit erreicht. Viele Themen waren bei uns informell gelöst und stark von einzelnen Personen abhängig. Die ISO Zertifizierung und unser daraus entstandenes ISMS ermöglichen es, die Last zu verteilen und Massnahmen generell umzusetzen.
Die grosse Herausforderung war für uns immer, die Tragbarkeit der Massnahmen durch zu viele Vorgaben in der Organisation zu balancieren. Somit konnten wir nicht nur einen Standardkatalog an Massnahmen durch Templates übernehmen, sondern konnten uns mit den Möglichkeiten eines KMU diesen Herausforderungen stellen.