ISO 27001 ist die international anerkannte Norm für Informationssicherheitsmanagementsysteme (ISMS). Sie legt Anforderungen fest, mit denen eine Organisation die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen systematisch schützt und Informationssicherheitsrisiken beurteilt und behandelt.
Definition
ISO 27001 (offiziell ISO/IEC 27001) ist die führende Norm für Informationssicherheitsmanagement. Sie verlangt den Aufbau eines ISMS, das auf einer systematischen Risikobeurteilung basiert. Die Organisation bestimmt ihren Kontext, die relevanten interessierten Parteien und den Anwendungsbereich. Informationssicherheitsrisiken werden bewertet und durch geeignete Maßnahmen behandelt. Anhang A enthält eine umfangreiche Liste von Maßnahmen aus den Bereichen Organisation, Personal, physische Sicherheit und Technologie, aus der die anwendbaren ausgewählt und begründet werden. Die Norm folgt der High Level Structure und dem PDCA-Zyklus. Sie fordert eine Informationssicherheitspolitik, Ziele, Ressourcen, Kompetenz, Bewusstsein, Kommunikation sowie Überwachung, Audits und Managementbewertung. Eine Zertifizierung bestätigt die Wirksamkeit des ISMS.
Praxisbezug
Ein IT-Dienstleister mit Zugriff auf Kundendaten führt ISO 27001 ein. Der Informationssicherheitsbeauftragte erstellt eine Risikobeurteilung, legt ein Zugriffskonzept fest und schult die Mitarbeiter im Umgang mit Phishing-Angriffen. Die Zertifizierung wird zur Voraussetzung für Großaufträge.
Normbezug
ISO/IEC 27001:2022, insbesondere Klausel 6.1 (Maßnahmen zum Umgang mit Risiken und Chancen), 8.2 (Informationssicherheitsrisikobeurteilung) und Anhang A.