Schritt-für-Schritt-Anleitung zur Erstellung einer ISO® 27001 Erklärung zur Anwendbarkeit

Wie erstellen Sie eine Aussage zur Anwendbarkeit für ISO® 27001?

Schritt 1: Die Anforderungen verstehen

Bevor Sie sich in die Erstellung Ihrer SoA stürzen, ist es unerlässlich, die Anforderungen von ISO® 27001 zu verstehen. Die SoA ist im Wesentlichen ein umfassendes Dokument, das alle relevanten Informationssicherheitskontrollen für Ihre Organisation enthält.

Diese Kontrollen stammen aus Anhang A von ISO® 27001, der eine Liste von 93 Kontrollen umfasst. Auf dem Blog haben wir einen umfassenden Leitfaden zu ISO® 27001-Kontrollen, also schauen Sie sich das unbedingt an, bevor Sie weitermachen.

Schritt 2: Eine Risikobewertung durchführen

Der nächste wesentliche Schritt ist die Durchführung einer umfassenden Risikobewertung. Dieser Prozess umfasst die Identifizierung, Bewertung und Verwaltung von Risiken, die sich auf die Informationssicherheit Ihrer Organisation auswirken könnten. Wichtige Elemente dieses Schrittes sind:

a) Die geeignete Methodik bestimmen

Wählen Sie die Risikobewertungsmethodik aus, die mit den spezifischen Anforderungen und Zielen Ihrer Organisation in Einklang steht.

Zu den Optionen gehören:

• OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation): Entwickelt vom Software Engineering Institute (SEI) adressiert OCTAVE Herausforderungen im Zusammenhang mit der Informationssicherheits-Compliance. Ihr Hauptziel besteht darin, die Ziele einer Organisation mit ihren Informationssicherheitsbemühungen abzustimmen. OCTAVE richtet sich insbesondere an Personen, die für das Management der operativen Risiken einer Organisation verantwortlich sind. Es unterstützt Organisationen dabei, qualitative Kriterien zur Bewertung der Toleranz gegenüber operativen Risiken festzulegen, entscheidende Vermögenswerte zu identifizieren, Schwachstellen und Bedrohungen für diese Vermögenswerte zu identifizieren, potenzielle Konsequenzen realisierter Bedrohungen zu bewerten und kontinuierliche Verbesserungsmaßnahmen zur Risikominderung einzuleiten.

• NIST SP 800-30: Von der National Institute of Standards and Technology (NIST) bereitgestellt, bietet dieser Leitfaden umfassende Anweisungen zur Durchführung von Risikobewertungen. Er umfasst drei Hauptphasen: Vorbereitung auf die Bewertung, Durchführung der Bewertung und deren Aufrechterhaltung. Er betont außerdem, wie Risikobewertungen in den breiteren organisatorischen Risikomanagementprozess passen und betont ihre Rolle bei der Information und Ergänzung anderer Risikomanagementaktivitäten.

• ISO® 27005: Diese Norm bietet Anleitungen für das Management von Informationssicherheitsrisiken. Sie ergänzt die in ISO® 27001 skizzierten Prinzipien und unterstützt die effektive Umsetzung von Informationssicherheit durch einen Risikomanagementansatz. Der Leitfaden zur Risikobewertung und -behandlung von ISO® 27001 unterstreicht, dass das Risikomanagement aus zwei Hauptelementen besteht – Risikobewertung (oft als Risikoanalyse bezeichnet) und Risikobehandlung. Der Prozess der Risikobewertung beinhaltet die Identifizierung von Informationssicherheitsrisiken, die Bewertung ihrer Wahrscheinlichkeit und Auswirkung sowie die Grundlage für nachfolgende Risikominderungsstrategien.

b) Fachkundigen Rat suchen

Bei der Durchführung einer Risikobewertung ist es oft vorteilhaft, fachkundigen Rat von renommierten externen Quellen einzuholen. Diese Quellen wurden von Experten auf dem Gebiet entwickelt und bieten ein umfangreiches Wissen und bewährte Verfahren, die Ihren eigenen Risikobewertungsprozess verbessern können.

Hier ist ein kurzer Überblick über einige Ressourcen:

• ISO® 27001: Diese internationale Norm bietet Anleitungen für die Auswahl und Umsetzung von Informationssicherheitskontrollen sowie für die Adoption von Informationssicherheitsstandards und -praktiken. Sie ist für die Verwendung durch Organisationen im Rahmen eines ISMS basierend auf ISO® 27001 vorgesehen. ISO® 27001 hilft Organisationen, Informationssicherheitskontrollen auf der Grundlage global anerkannter bewährter Verfahren zu implementieren und ihre eigenen Leitlinien zum Management von Informationssicherheit zu entwickeln.

• NIST SP 800-53: Dieser Satz von Standards von NIST unterstützt Bundesbehörden und Auftragnehmer bei der Erfüllung der Anforderungen des Federal Information Security Management Act (FISMA). Er präsentiert einen umfassenden Katalog von Sicherheits- und Datenschutzkontrollen zum Schutz von Informationssystemen und Organisationen, dem Schutz operativer Vermögenswerte, Personen, anderer Einheiten und der Nation vor einer Vielzahl von Bedrohungen und Risiken.

• CIS Controls: Die Critical Security Controls (CIS Controls) sind ein klarer, priorisierter und vereinfachter Satz bewährter Verfahren, die dazu dienen sollen, Ihre Cybersicherheitsposition zu stärken. Sie sind mit verschiedenen rechtlichen, regulatorischen und politischen Rahmenwerken in Einklang gebracht und werden von diesen referenziert. Diese Kontrollen bestehen aus spezifischen Sicherheitsvorkehrungen, von denen sich jede auf eine einzige Cybersicherheitsaufgabe konzentriert. Dieser vereinfachte Ansatz zur Cybersicherheit hat sich als wirksam bei der Abwehr zeitgenössischer Bedrohungen erwiesen.

Schritt 3: Kontrollen zur Behandlung von Risiken auswählen

ISO® 27001 skizziert vier Optionen zur Risikobehandlung:

• Behalten oder tolerieren: Diese Wahl trifft man, wenn das identifizierte Risiko innerhalb der akzeptablen Schwelle der Organisation liegt. Die Organisation erkennt das Risiko an, entscheidet sich jedoch gegen die Implementierung zusätzlicher Kontrollen. Diese Entscheidung basiert oft auf einer Kosten-Nutzen-Analyse, bei der die Ausgaben für die Minderung des Risikos als höher als der mögliche Schaden angesehen werden.

• Vermeiden oder beenden: Diese Strategie beseitigt das Risiko, indem die zugehörige Aktivität oder der Prozess eingestellt wird. Zum Beispiel kann eine Organisation die Verwendung einer Softwareanwendung, die ein hohes Sicherheitsrisiko darstellt, einstellen, um das Risiko zu beseitigen.

• Teilen oder übertragen: Die Organisation überträgt das Risiko an einen Dritten durch Outsourcing, Versicherungsschutz oder Partnerschaften. Beispielsweise kann das Risiko von Datenverlust durch Auslagerung von Datenbackup und -wiederherstellung an einen Drittanbieter übertragen werden, der für die Minderung verantwortlich ist.

• Modifizieren oder behandeln: Diese Methode besteht darin, das Risiko durch die Implementierung geeigneter Sicherheitskontrollen zu reduzieren. Diese Kontrollen werden in der Regel aus der Liste der 93 Kontrollen aus Anhang A von ISO® 27001 ausgewählt. Die Implementierung dieser Kontrollen ist ein grundlegender Bestandteil des Risikobehandlungsprozesses und wird in einem Risikobehandlungsplan dokumentiert.

Die Wahl der Risikobehandlungsoption, der Sie nachgehen werden, sollte eng mit der Risikomanagementstrategie Ihrer Organisation und den Informationssicherheitszielen übereinstimmen. Diese Kontrollen spielen eine entscheidende Rolle bei der Stärkung der Sicherheitsposition Ihrer Organisation und der Einhaltung der ISO® 27001-Standards.