ISO 27001 Anforderung 5.1 – Führung und Engagement

Was beinhaltet Abschnitt 5.1?

In dieser Klausel werden spezifische Aspekte des Managementsystems identifiziert, bei denen vom Top-Management erwartet wird, dass es sowohl Führungsqualitäten als auch Engagement zeigt. Dazu gehören unter anderem:

• Verantwortung für die Wirksamkeit des Managementsystems;
• Sicherstellen, dass die Richtlinien und Ziele festgelegt sind und mit dem Kontext und der strategischen Ausrichtung der Organisation kompatibel sind;
• Sicherstellung der Integration des Managementsystems in die Geschäftsprozesse;
• Förderung des Einsatzes des Prozessansatzes und des risikobasierten Denkens
• Sicherstellen, dass ausreichende Ressourcen vorhanden sind;
• Sicherstellen, dass das Managementsystem seine beabsichtigten Ergebnisse erzielt;
• Einbindung, Anleitung und Unterstützung von Personen, um zur Wirksamkeit des Managementsystems beizutragen

Die Bedeutung des Führungsengagements

Wenn die Führung nicht aktiv beteiligt ist, z. B. nicht an Managementbewertungen teilnimmt, oder dem externen Prüfer nicht nachweisen kann, dass es einen Führungsvertreter gibt, der dies während eines Audits ernst nimmt, wird die Organisation mit ziemlicher Sicherheit scheitern. Auditoren sprechen davon, dass der Geist der ISO 27001 von oben kommt, und wenn sie das nicht sehen, werden sie während des Audits wahrscheinlich viel tiefer und skeptischer hinschauen.

Wie bereits mehrfach erwähnt, ist Informationssicherheitsmanagement eine geschäftskritische Philosophie und muss mit den Geschäftszielen und -prozessen eines Unternehmens kompatibel sein, damit es in der Praxis funktioniert. Ohne die Unterstützung der Führung oder die Anforderung, 25 Dinge zu erledigen, bevor jemand tatsächlich die Arbeit erledigt, die er machen möchte, wird es schwierig sein, die ISO 27001-Reise in Gang zu bringen.

Die Fähigkeit, dieses Führungsengagement nachzuweisen, ist für Abschnitt 5.1 von entscheidender Bedeutung, und hier kommt ein seriöseres Informationssicherheitsmanagementsystem ins Spiel, das sowohl das Engagement der Führung für die Investition in ein ISMS nachweist als auch über die Nachweise verfügt, dass sie z. B. in Managementbewertungen und darüber hinaus einbezogen wurden ISMS-Entscheidungsfindung sowie die erforderlichen jährlichen externen Audits für ISO 27001. Wenn ein gesetzlicher Finanzbuchhalter sehen würde, dass die gesamte Finanzbuchhaltung nur mit Tabellenkalkulationen statt mit einer professionellen Buchhaltungsanwendung erledigt wird, könnte er deren Integrität in Frage stellen und mehr Zeit damit verbringen, als wenn die Arbeit erledigt wäre mit xero, sage oder einer anderen anerkannten Lösung. Das Gleiche gilt für das Informationssicherheitsmanagement. Der Einsatz der richtigen Tools und die Einbeziehung der richtigen Leute schaffen Vertrauen.

Wenn diese Grundlagen vorhanden sind, lässt sich diese Klausel leicht nachweisen, und die Einhaltung erfordert lediglich dokumentierte Nachweise in Form von Notizen, um zu bekräftigen, dass Führung und Engagement vorhanden sind, und um Klausel 5.1 Punkte ah in der ISO 27001-Norm zu berücksichtigen. Das werden dann alle Teile des zusammengeführten ISMS in der Praxis zeigen.

Machen Sie es einfacher mit ISMS.online

Wir haben eine Musterrichtlinie mit einem Erklärungsvorschlag beigefügt, den Organisationen bezüglich der Maßnahmen der Geschäftsleitung rund um und innerhalb des ISMS übernehmen oder anpassen können. Es ist mit den Bereichen verknüpft, in denen die Geschäftsleitung typischerweise involviert ist, sodass Prüfer ganz einfach die benötigten Nachweise einsehen können.

Dazu gehört die Nutzung des ISMS.online-Softwaredienstes zum Nachweis, dass Management-Review-Meetings stattgefunden haben, zu denen auch die Bewertung der Leistung des ISMS im Vergleich zu seinen erklärten Zielen gehört. All dies kann in der ISMS.software einfach nachgewiesen werden und zeigt, dass die Geschäftsleitung dies getan hat war beteiligt. Ob sie tief in die Funktionsweise des ISMS einsteigen, z. B. indem sie Risiken im Zusammenhang mit der Informationssicherheit erkennen, an Sicherheitsüberprüfungen teilnehmen, sich bewährte Verfahren zur Informationssicherung ansehen und die laufenden Datenschutzprobleme in der Organisation bewerten und Sicherheitsvorfälle verwalten, hängt wahrscheinlich von der Organisation ab Größe und investierte Ressourcen.