Solution: Informationssicherheits-Zertifizierung | ISO 27001

Informationen

Die rasch voranschreitende digitale Transformation birgt gerade im Informationstechnologie-Bereich Chancen wie auch Risiken. Zu den Risiken zählen akute Bedrohungen wie Hackerangriffe, weltweite Virusattacken, unvorhersehbarer Datenverlust oder der generelle Missbrauch von vertraulichen Informationen, die eine wichtige Geschäftsgrundlage bilden. Diese Szenarien können zu einer ernsten Bedrohung für betriebliche IT-Prozesse werden und schlimmstenfalls sogar den gesamten Geschäftsbetrieb lahmlegen. ISO 27001 (Factsheet), der international einzige Standard für Informationssicherheit, trägt durch einen systematischen und strukturierten Ansatz dazu bei, diese Risiken gezielt zu erkennen und zu minimieren.

Der Standard erlaubt es Unternehmen und Organisation jeglicher Größe und Branche Informationssicherheit zu implementieren und laufend zu evaluieren.

Die Voraussetzung dafür ist ein dokumentiertes und in der Organisation integriertes bzw. gelebtes Informationssicherheitsmanagementsystem. Die ISO 27001 berücksichtigt verstärkt den Bereich des Risikomanagements. Auf Basis der Risikobewertung (auch Risikoanalyse genannt) kommt die “Anwendung der Sicherheitskontrollen” aus Anhang A (14 Abschnitte) der Norm zu Tragen, um jedes nicht annehmbare Risiko zu entschärfen.

Das Zertifikat (siehe Musterzertifikat) besitzt eine Gültigkeitsdauer von drei Jahren und darf entsprechend der Zertifizierordnung zu Werbezwecken verwendet werden. Das Zertifizierungslogo kann beispielsweise auf Briefpapier, der Website (jeweils in Zusammenhang mit der Organisation) verwendet werden. Die jeweils geplante Verwendung muss aus rechtlichen Gründen durch die Zertifizierungsstelle freigegeben bzw. bestätigt werden.

Ablauf ISO 27001-Zertifizierung

Ein Zertifizierungsprozess dauert in der Regel zwischen drei und fünf Wochen. Den genauen Aufwand, sowie Dauer und Kosten legen wir mit Ihnen gemeinsam vor dem Zertifizierungsprozess fest.

1. Informationsgespräch
Bei einem unverbindlichen und kostenlosen Gespräch informieren wir Sie über die Vorgehensweise zur Erlangung Ihres Zertifikats. Weiters werden u.a. folgende Punkte geklärt:

• Grundsätzliche Voraussetzungen für eine Zertifizierung
• Ziele und Nutzen der Zertifizierung
• Abgleich der Unternehmensdaten und Festlegung des Geltungsbereiches der Zertifizierung
• Besprechung Ihrer spezifischen Anforderungen und Wünsche
• Festlegung der nächsten erforderlichen Schritte in Richtung Zertifizierung

Auf Basis dieses Informationsgesprächs erhalten Sie ein individuelles und auf Ihre Organisation maßgeschneidertes Angebot.

2. Beauftragung
Sind Sie mit dem gestellten Angebot zufrieden, wird die Zertifizierungsstelle beauftragt. Nachdem Sie eine Auftragsbestätigung erhalten haben, beginnt der Zertifizierungsprozess mit einer gemeinsamen terminlichen Abstimmung mit dem/der verantwortlichen Auditor_in.

3. Voraudit (optional)
Auf Wunsch kann ein Voraudit durchgeführt werden. Anhand eines gemeinsam definierten Rahmens werden entweder spezielle Bereiche bzw. Prozesse oder die Gesamtsituation Ihrer Organisation auditiert. Dabei werden etwaige Schwachstellen in der Dokumentation und der Implementierung des Systems aufgezeigt. Ein Voraudit kann Ihnen auf Wunsch einen Statusbericht in Bezug auf die grundsätzliche Zertifizierungsfähigkeit, eine Detailexpertise zu einzelnen Prozessen oder der Konformität zu einzelnen Forderungspunkten der jeweiligen Norm geben. Die Auditmethodik entspricht dabei jener des Zertifizierungsaudits.

4. Zertifizierungsaudit Stufe 1
Das Stufe-1-Audit dient zur Feststellung Ihrer Zertifizierungsfähigkeit. Standortspezifische Bedingungen werden beurteilt und notwendige Informationen bezüglich des Geltungsbereichs gesammelt. Folgende Hauptpunkte werden vorwiegend in der Auditstufe 1 behandelt:

• Prüfung der Dokumentation auf Konformität und Vollständigkeit im Abgleich mit den jeweiligen Normanforderungen.
• Status der Implementierung des Managementsystems im Unternehmen: Lässt das vorhandene Management sowie der Implementierungsgrad des Managementsystems in der Organisation grundsätzlich eine Zertifizierung zu oder fehlen noch entscheidende Details?

Vor Durchführung der Auditstufe 2 wird mit dem erlangten Wissen zu Ihrer Organisation und dem Managementsystem eine Auditplanung für das eigentliche Zertifizierungsaudit erstellt und mit Ihnen abgestimmt.