Wie die Autotech Group mit ISO 27001 die kontinuierliche Verbesserung der Informationssicherheit vorantreibt

„Die Zertifizierung ist ein Nebenprodukt dieses Prozesses – wir haben dies getan, um uns als Unternehmen zu verbessern und unseren Ansatz in Bezug auf Informationssicherheitsmanagement, Endbenutzerschulungen und Prozesse zu optimieren.“

Jack Salsbury Leiter IT und Informationssicherheit, Autotech-Gruppe

Wichtige Erkenntnisse

Erfahren Sie mehr über die Autotech Group:

• Die ISO 27001-Zertifizierung wurde in 11 Monaten erreicht.
• Die IO-Plattform wurde zur Optimierung der ISMS-Implementierung genutzt.
• SGGs Expertise im Bereich ISO 27001 wurde genutzt, um den Erfolg zu unterstützen
• Best Practices für integrierte Informationssicherheit zur kontinuierlichen Verbesserung.

Über die Autotech Group

Die Autotech Group, ein Spezialist für den Automobil- und Mobilitätssektor, besteht aus vier Marken: Autotech Recruit, Autotech Training, Autotech Academy und Autotech Connect.

Das Unternehmen ist eine preisgekrönte Spezialberatung, die Innovationen in der Automobilindustrie und dem gesamten Mobilitätssektor vorantreibt. Mit maßgeschneiderten Lösungen, die auf den drei Kernkompetenzen des Unternehmens – Personal, Qualifikationen und Technologie – basieren, begegnet es einer der drängendsten Herausforderungen der Branche: dem zunehmenden Fachkräftemangel.

Die Herausforderung

Das Team der Autotech Group musste im Rahmen seiner strategischen Informationssicherheitsstrategie die ISO 27001-Konformität erreichen. Sie wussten, dass sie durch den Aufbau, die Pflege und die kontinuierliche Verbesserung eines ISO 27001-konformen Informationssicherheitsmanagementsystems (ISMS) sicherstellen konnten, dass der Ansatz des Unternehmens zur Informationssicherheit den Best Practices entsprach.

„Informationssicherheit ist kein statischer Prozess. Wir verändern und entwickeln uns ständig weiter und stellen sicher, dass unsere Informationssicherheit unseren Geschäftsbedürfnissen entspricht und nicht einfach alles hinzufügt, was wir bekommen können.“

Jack Salsbury Leiter IT und Informationssicherheit, Autotech-Gruppe

Die ISO-27001-Zertifizierung würde der Autotech Group zudem ermöglichen, ihren Stakeholdern nachzuweisen, dass das Unternehmen die grundlegenden Anforderungen an die Informationssicherheit erfüllt. Viele Lieferanten und Partner der Autotech Group verlangten Nachweise über die Einhaltung der Informationssicherheitsstandards, wobei die Anforderungen oft über den Umfang gängiger Sicherheitsframeworks wie Cyber ​​Essentials und Cyber ​​Essentials Plus hinausgingen.

Dies machte den Nachweis effektiver Informationssicherheitsmaßnahmen für den anhaltenden Erfolg unerlässlich: Die ISO 27001-Zertifizierung sollte ein Katalysator für Wachstum sein.

„Für uns waren Cyber ​​Essentials und Cyber ​​Essentials Plus nicht mehr ausreichend. ISO 27001 wurde zum umfassenderen nächsten Schritt in Bezug auf die Zertifizierung und den Nachweis unserer Informationssicherheit.“

Jack Salsbury Leiter IT und Informationssicherheit, Autotech-Gruppe

Da das Team jedoch internes Fachwissen im Bereich ISO 27001 aufbaute, benötigte es zusätzliche Unterstützung für die Umsetzung und eine Plattform zur Konsolidierung des Compliance-Prozesses.

Die Lösung

Das Team nutzte die Expertise der IT-Sicherheitsberater von SGG und die IO-Plattform zur Zentralisierung des Compliance-Managements. Intern übernahm Nadège, Projektmanagerin der Autotech Group, das dedizierte Projektmanagement. Sie stimmte die Projektstruktur und die Verantwortlichkeiten für die ISO-27001-Zertifizierung mit den internen Ressourcen und Geschäftsanforderungen ab, um letztendlich eine erfolgreiche Zertifizierung zu gewährleisten.

Chris Gill, Leiter Cybersicherheit, GRC und Auditierung bei SGG, unterstützte den gesamten Zertifizierungsprozess. Er arbeitete mit dem Team der Autotech Group zusammen, um Unklarheiten im Standard zu beseitigen und Best Practices für die Implementierung zu vermitteln. Chris erklärte: „Jack und Nadège verfügen beide über hohe Kompetenz im Bereich Informationssicherheit. Die Aufgabe von SGG bestand darin, die technischen Anforderungen der ISO 27001:2022 zu erläutern und hinsichtlich der effektiven Implementierung und Einhaltung der Anforderungen zu beraten.“

„SGG hat Klarheit und Fachkompetenz in den Zertifizierungsprozess eingebracht und sich auf Bereiche des Standards konzentriert, in denen wir Unterstützung benötigten.“

Jack Salsbury Leiter IT und Informationssicherheit, Autotech-Gruppe

Jack und Nadège nutzten die 11-stufige Methode für garantierte Ergebnisse (Assured Results Method, ARM) von IO, um die Implementierung strategisch anzugehen. Sie verwendeten außerdem die integrierten Richtlinien- und Kontrollvorlagen der Plattform und passten diese an die spezifischen Gegebenheiten des Unternehmens an.

„Die Plattform bot uns den Rahmen und die Inhalte, die wir anpassen konnten – unsere internen Erfahrungen mit ISO 27001 entwickelten sich gerade erst, daher war dies von unschätzbarem Wert für unseren Erfolg.“

Nadège Gavarret-Clarke Projektmanager, Autotech-Gruppe

Mithilfe der IO-Plattform konnte die Autotech Group die Anforderungen der Qualitätsmanagementnormen ISO 27001 und ISO 9001 abgleichen und die Kontrollen in den Überschneidungsbereichen aufeinander abstimmen. Dadurch wurden Doppelarbeit vermieden und das Compliance-Management beider Normen optimiert.

Das Ergebnis

„ARM hat uns einen rationalen Ansatz für die ISO 27001-Norm geboten, und damit konnten wir dann jede einzelne Klausel und die Kontrollen in Anhang A genauer untersuchen.“

Jack Salsbury Leiter IT und Informationssicherheit, Autotech-Gruppe

Mit diesem ganzheitlichen Ansatz zur Einhaltung der Vorschriften in Bezug auf Mitarbeiter, Prozesse und Plattform erreichte die Autotech Group innerhalb von elf Monaten die ISO 27001-Zertifizierung. Das Unternehmen verfügt nun über ein robustes Informationssicherheitsmanagementsystem (ISMS) und das Team entwickelt seinen Ansatz zum Informationssicherheitsmanagement kontinuierlich weiter, um die Anforderungen der ISO 27001 zur ständigen Verbesserung zu erfüllen.

Autotech Recruit ist heute eines der wenigen Personalvermittlungsunternehmen dieser Größe, das sowohl über die ISO 27001- als auch die ISO 9001-Zertifizierung verfügt, was das Engagement des Teams für Qualität und Sicherheit widerspiegelt.

„IO gibt uns die Gewissheit, dass wir die aus unseren Audits resultierenden Verbesserungen umsetzen und messen können. Wir sehen unseren aktuellen Stand und können die Auswirkungen von Änderungen direkt erkennen. Die IO-Plattform bietet uns einen sehr klaren Überblick darüber, welche Verbesserungen wir im Kontrollbereich erzielt haben.“

Jack Salsbury Leiter IT und Informationssicherheit, Autotech-Gruppe

Während die erfolgreiche ISO 27001-Zertifizierung das Hauptziel war, betonte Jack, dass es ebenso wichtig sei, die Best Practices des Standards im gesamten Unternehmen effektiv anzuwenden:

„Die Zertifizierung ist ein Nebenprodukt dieses Prozesses – wir haben dies getan, um uns als Unternehmen zu verbessern und unseren Ansatz in Bezug auf Informationssicherheitsmanagement, Endbenutzerschulungen und Prozesse zu optimieren.“

Jack Salsbury Leiter IT und Informationssicherheit, Autotech-Gruppe

Die Autotech Group hat ihre nächsten drei Audits bei SGG gebucht, um die fortlaufende Einhaltung der Vorschriften sicherzustellen und die Reife ihres ISMS weiterzuentwickeln. Jack sagte: „Besonders hilfreich an der Zusammenarbeit mit SGG fand ich die Gespräche über den erwarteten Reifegrad des ISMS während des gesamten Prozesses.“

„Es war großartig zu sehen, wie die Autotech Group ihre Prozesse und Richtlinien seit Beginn meiner Zusammenarbeit weiterentwickelt hat. Ich freue mich darauf, ihre internen Audits durchzuführen, um die Einhaltung der Anforderungen der ISO 27001:2022 zu überprüfen und Verbesserungspotenziale im Zuge unserer wachsenden Partnerschaft aufzudecken.“

Chris Gil Leiter Cybersicherheit, GRC und Auditierung, SGG

Nächste Schritte

Das Team arbeitet in den kommenden Monaten an der DSGVO-Konformität der Autotech Group. Mithilfe der IO-Plattform planen sie, zunächst eine Gap-Analyse durchzuführen, um festzustellen, inwieweit die für die ISO-27001-Zertifizierung implementierten Kontrollen mit den DSGVO-Anforderungen übereinstimmen und wo weiterer Handlungsbedarf besteht.