Was ist ISO 27001?
Kurz gesagt
ISO/IEC 27001 ist die internationale Norm für ein Informationssicherheits-Managementsystem (ISMS). Eine Organisation ermittelt ihre Risiken, wählt Maßnahmen zum Schutz von Informationen und prüft und verbessert diese laufend.
Was verlangt ISO 27001?
ISO 27001 schreibt keine feste Liste von Maßnahmen vor, sondern eine Arbeitsweise. Die Organisation legt den Geltungsbereich fest, ermittelt, welche Informationen sie hat und welche Risiken dafür bestehen, wählt Maßnahmen und hält fest, warum. Danach folgen interne Audits, eine Managementbewertung und Verbesserungen: ein Zyklus, der sich jedes Jahr wiederholt.
Die Maßnahmen wählt die Organisation aus einem Anhang der Norm. In der aktuellen Fassung, ISO/IEC 27001:2022, sind das 93 Maßnahmen in vier Themen: organisatorisch, personell, physisch und technologisch. Beispiele sind Zugriffsverwaltung, Verschlüsselung, Backups, Lieferantenmanagement und Sensibilisierung der Mitarbeiter. Zertifikate nach der alten Fassung von 2013 sind nach der Übergangsfrist abgelaufen.
Was sagt ein Zertifikat aus?
Eine akkreditierte Zertifizierungsstelle prüft, ob die Organisation die Norm erfüllt; in den Niederlanden akkreditiert der Raad voor Accreditatie diese Stellen. Ein Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits. Es besagt, dass die Organisation ihre Informationssicherheit im auf dem Zertifikat genannten Geltungsbereich beherrscht, nicht, dass nie etwas schiefgeht.
Warum ist das bei der Softwareauswahl wichtig?
Bei SaaS liegen Ihre Daten beim Anbieter. Ein ISO-27001-Zertifikat ist eine schnelle Möglichkeit zu beurteilen, ob er das ernst nimmt, und Organisationen, die unter NIS2 fallen, müssen ihre Lieferanten hinsichtlich Sicherheit bewerten. Fordern Sie das Zertifikat an, prüfen Sie Geltungsbereich und Gültigkeit und ob die Leistung, die Sie beziehen, darunter fällt.
Welche Software hilft dabei?
Ein ISO-27001-Zertifikat eines Softwareanbieters sagt etwas darüber aus, wie er mit Ihren Daten umgeht. Fordern Sie das Zertifikat an und prüfen Sie den Geltungsbereich: Manchmal ist nur ein Teil der Organisation zertifiziert.
Vergleichen in der Kategorie
Unter anderem mit 365 Total Protection, Aikido Security und Attic MDR.