ISO/IEC 27001
Ein Informationssicherheitsmanagementsystem – ISMS – schafft einen strukturierten Rahmen, um Informationssicherheit dauerhaft zu steuern und kontinuierlich zu verbessern.
Die aktuelle internationale Grundlage ist ISO/IEC 27001:2022. Sie beschreibt die Anforderungen an Aufbau, Betrieb, Überwachung und kontinuierliche Verbesserung eines ISMS.Ein Informationssicherheitsmanagementsystem – ISMS – schafft einen strukturierten Rahmen, um Informationssicherheit dauerhaft zu steuern und kontinuierlich zu verbessern.
Die aktuelle internationale Grundlage ist ISO/IEC 27001:2022. Sie beschreibt die Anforderungen an Aufbau, Betrieb, Überwachung und kontinuierliche Verbesserung eines ISMS.
In früheren Funktionen habe ich den Aufbau und die Zertifizierung eines ISMS für Rechenzentrums- und IT-Services begleitet.
Besonders wichtig war dabei die Erkenntnis, dass Informationssicherheit nicht aus einzelnen technischen Maßnahmen besteht.
Ein wirksames ISMS verbindet:
- Werte und Schutzbedarfe
- Risiken und Bedrohungen
- technische und organisatorische Maßnahmen
- Verantwortlichkeiten
- Incident Management
- Awareness
- Lieferanten und Dienstleister
- Business Continuity
- Audits
- kontinuierliche Verbesserung
„Mit der Zertifizierung geben wir unseren Kunden ein klares Signal, dass wir als Rechenzentrumsanbieter notwendige Maßnahmen zur Einhaltung und ständigen Verbesserung der Informationssicherheit implementiert haben und, weitaus wichtiger, in regelmäßigen Abständen überprüfen lassen. Diesen hohen Maßstab können nur wenige Service Provider vorweisen.“
Bernd Leibold, Rechenzentrumsleiter
Risikomanagement
Ausgangspunkt ist die Frage, welche Informationen und Services für eine Organisation besonders wichtig sind und welche Auswirkungen ein Verlust von Verfügbarkeit, Integrität oder Vertraulichkeit hätte.
Risiken werden bewertet und anschließend behandelt: vermeiden, reduzieren, übertragen oder bewusst akzeptieren.
Wirksamkeit
Eine dokumentierte Maßnahme allein schafft noch keine Sicherheit.
Entscheidend ist, regelmäßig zu überprüfen, ob die vorgesehenen Kontrollen tatsächlich wirksam sind. Dazu können unter anderem Audits, Schwachstellenscans, technische Tests, Penetrationstests und die Auswertung realer Sicherheitsereignisse beitragen.
„ Die Zertifizierung umfasste gesamten Bereich der sogenannten Managed Services, vom Betrieb der Rechenzentrumsinfrastruktur bis hin zum Second- und Third-Level-Kundensupport. Die active-active-Datacenter gehören zu den meistgenutzten Rechenzentren der Logistikbranche in Deutschland und Europa. “
Bernd Leibold, Rechenzentrumsleiter
Business Continuity
Informationssicherheit umfasst auch die Fähigkeit, kritische Leistungen bei Störungen aufrechtzuerhalten oder innerhalb definierter Zeiten wiederherzustellen.
Für Business Continuity bietet unter anderem der BSI-Standard 200-4 einen aktuellen methodischen Rahmen.
Kontinuierliche Aufgabe
Ein ISMS ist kein einmaliges Zertifizierungsprojekt.
Technologien, Geschäftsprozesse und Bedrohungen ändern sich kontinuierlich. Deshalb müssen auch Risiken, Schutzmaßnahmen und Sicherheitsprozesse regelmäßig überprüft und angepasst werden.
„Wir hätten es uns wie viele Marktbegleiter leicht machen können und uns in einem externen zertifizierten Datacenter in Frankfurt einmieten können. Damit sind lediglich Zutritt und Klimaanlage zertifiziert – mehr aber nicht.“
Bernd Leibold, Rechenzentrumsleiter
„ Unsere Datacenter sind mit Personal, Sicherheitsmaßnahmen, Services und Betriebsprozessen zertifiziert; das sucht seinesgleichen.“
Bernd Leibold, Rechenzentrumsleiter