ISMS-Prozesse und Ziele der ISO 27001
Einschätzung und Behandlung von Risiken
- Wirksamer Schutz Ihrer Informationen, Daten und Geschäftsprozesse
- Ressourcen-Management
- Sensibilisierung und Kommunikation
- Anforderungs- und Änderungsmanagement
- Kontrolle der Dokumentationen und Nachweise
- Kontrolle ausgelagerter Dienstleistungen
- Leistungsbewertung (Messung, Kontrolle)
- Interne Auditierung
- ISMS-Bewertung und ISMS-Verbesserung
- Kontinuierliche Verbesserung Ihrer IT-Prozesse
- Kostensenkung durch die Vermeidung von Sicherheitsvorfällen
ISO 27001 oder BSI IT-Grundschutz?
Beide Standards haben ihre Stärken und „Schwächen“. Während der IT-Grundschutz hohe formelle Anforderungen stellt, aber in vielen Anwendungsfällen schneller umsetzbar ist und konkrete Vorgaben sowie Empfehlungen an die Hand reicht, bietet die ISO/IEC 27001 aufgrund generischer Anforderungen eine hohe Flexibilität bei der Umsetzung und ist international anerkannt.
Das fuentis ISMS Modul kombiniert beide Stärken in einem Tool und ermöglicht Informationssicherheitsmanagement nach ISO 27001 Katalog sowie konform zum BSI IT-Grundschutz. Dabei setzt fuentis keine speziellen Fachkenntnisse in der IT-Sicherheit und Informationssicherheit voraus, ist wesentlich schneller realisierbar und gewährleistet zudem ein rechtskonformes Vorgehen, bis hin zur ISO 27001 Zertifizierung.
SOA (Statement of Applicability)
Die SOA (Statement of Applicability bzw. Erklärung zur Anwendbarkeit) ist eine notwendige Verbindung der Risikoeinschätzung und -behandlung mit den Maßnahmen (Controls) zur Cyber- und Informationssicherheit Ihrer Organisation.
In der SOA wird festgehalten, welche der vorgeschlagenen 114 Maßnahmen aus dem Anhang A der ISO 27001 angewendet werden. Darüber hinaus ist in der SOA festzulegen, wie die ausgewählten Maßnahmen umgesetzt werden.
Neben der Funktion als „Bindeglied“ ist die SOA das zentrale Dokument, wenn es um die Zertifizierung geht.
Funktionalitäten des fuentis ISMS Moduls zu ISO 27001
- ISMS-Implementierung nach ISO 27001
- Leitfaden zur Umsetzung von ISMS-Maßnahmen (ISO 27002)
- Identifizierung der Unternehmenswerte
- Identifizierung von Risiken, Bedrohungen und Gefährdungen
- Identifizierung von Auswirkungen durch Verlust von Vertraulichkeit, Integrität und Verfügbarkeit der Werte/Informationen
- Identifizierung von personen- und verfahrensbezogenen Schwachstellen
- Identifizierung von technischen und objektbezogenen Schwachstellen (Netze, Computer, Betriebssysteme, Software; Gebäude, Räume, physisches Umfeld)
- Risikoanalyse nach ISO 27005, NIST SP 800-30 und/oder ONR 49000
- Risikobewertung nach Eintrittswahrscheinlichkeit und Schadenshöhe
- Empfehlungen zur Risikobehandlung (IT-Sicherheitsmaßnahmen)
- Erstellen eines Risikobehandlungsplans für effektives Risikomanagement
- Fortlaufende Dokumentation (Historie der Risikobehandlungen)
- SOA (Statement of Applicability) festlegen und Bericht erstellen
