Zertifizierungen in der IT – ein FAQ

Je mehr ein Unternehmen digitalisiert arbeitet, desto zentraler wird auch das Thema Datensicherheit. Dementsprechend rücken auch Zertifizierungen mehr in den Mittelpunkt.

In unserem FAQ „Zertifizierungen in der IT“ wollen wir die wichtigsten Fragen klären:

Die Liste der verschiedenen Zertifizierungsmöglichkeiten beim Thema Datenschutz wird immer länger. Wir möchten bei diesem FAQ aber das Hauptaugenmerk auf die ISO/IEC 27001 und den BSI Grundschutz legen.

Die DIN ISO / IEC 27001 ist eine internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Es handelt sich dabei um ein standardisiertes Dokumentationsverfahren. Hierin werden Prozesse, Abläufe, Handlungen und teilweise auch Sicherheitsideale für die Optimierung der IT-Sicherheit festgehalten.Dabei können die Inhalte der ISO / IEC 27001 auf alle Unternehmensformen und -größen angepasst werden. Allerdings gibt es keine direkten Handlungsempfehlungen, sondern nur „Leitplanken“, an die sich gehalten werden müssen und/oder sollten. Wie der Weg dorthin aussieht, dass muss jedes Unternehmen selbst entwickeln.

Inhaltlich sind folgenden Themen in der ISO / IEC 27001 festgehalten:

• Management von Risiken
• Sicherheitspolitik (Security-Policy)
• Organisation der Sicherheit
• Klassifizierung und Kontrolle der Unternehmenswerte
• Physische und umgebungsbezogene Sicherheit
• Management der Kommunikation und des Betriebs
• Zugriffskontrolle / Zugangskontrolle
• Systementwicklung und -wartung
• IT-Störungsmanagement (IT-Incident Management)
• Management des kontinuierlichen Geschäftsbetriebs
• Einhaltung von Verpflichtungen (rechtlich und kundenspezifisch)

Der BSI Grunschutz ist eine Idee des Bundesamts für Sicherheit- und Informationstechnik (BSI) die Vorgaben der ISO/IEC 27001 etwas greifbarer zu machen.

So steht zum Beispiel in der ISO/IEC 27001, dass man seine Daten vor Naturkatastrophen schützen soll – es wird aber nicht aufgezählt, welche das sein könnten. Im BSI Grundschutz findet man solch eine Auflistung. Allerdings werden in diesem Beispiel auch im BSI Grundschutz keine Gegenmaßnahmen empfohlen, sondern das muss jedes Unternehmen für sich individuell herleiten.

Das BSI veröffentlicht regelmäßig Updates ihres IT-Grundschutz-Kompendiums. In der aktuellen Version, die im Februar 2022 veröffentlich wurde, sind 104 Bausteine aufgelistet aus den Bereichen Infrastruktur, Hardware, Software, Entwicklung, Gebäude und Endgeräte.

Aber keine Sorge: Für das Erreichen des Basisschutzes müssen nicht alle 104 Bausteine erfüllt werden. Sondern jedes Unternehmen muss ggf. andere Bausteine erfüllen, beziehungsweise kann auch nicht alle Bausteine erfüllen.

Beispiel: Eine Vorgabe beschreibt die Sicherheit für Apple-Geräte. Wenn Ihr Unternehmen keine Apple-Geräte benutzt, wird dieser Punkt hinfällig.

Weil wir über Jahre Erfahrungen mit beiden Zertifizierungen gemacht haben. Während Sie sich durch einen Wust von PDF’s wühlen müssen, können wir gemeinsam eine Strategie entwickeln, um best- und schnellstmöglich ans Ziel zu kommen.

Wenn Sie Interesse haben Ihren Weg zu einer Zertifizierung mit uns zu gehen, dann melden Sie sich gerne bei uns.