Auditierung des ISO/IEC 27007-Managementsystems

Warum ist ISO 27007 wichtig?

Um weiterhin bestehen zu können, müssen Unternehmen zunehmend riesige Datenmengen verwalten das Anbieten der Produkte und Dienstleistungen, die Verbraucher nachfragen. Die Sicherheit sensibler Daten ist für Unternehmen ein großes Anliegen und Verbraucher, verschärft durch mehrere aufsehenerregende Verstöße.

Das durch diese Übergriffe verursachte Chaos reicht von der Demütigung von Prominenten durch gedankenlose Fotos bis hin zu Verlust personenbezogener Daten zu Lösegeldforderungen in Millionenhöhe, die selbst die mächtigsten Unternehmen ins Visier genommen haben. 

Wenn solche Daten persönlich identifizierbare, finanzielle oder medizinische Informationen enthalten, haben Unternehmen die moralische und rechtliche Pflicht, sie vor Cyberkriminellen zu schützen.

Hier kommen internationale Standards wie die ISO 27000-Familie ins Spiel, die Unternehmen bei der Verwaltung der Sicherheit von Vermögenswerten wie Finanzdaten, geistigem Eigentum, Mitarbeiterinformationen und Informationen unterstützen, die ihnen von Dritten anvertraut werden.

Dieser aktuelle Stand der Dinge bedeutet, dass jeder, der mit der Prüfung des ISMS einer Organisation beauftragt ist, wahrscheinlich eine Menge Arbeit vor sich hat. Ebenso erfordert die Vorbereitung eines reibungslosen Audits Planung und Liebe zum Detail. Aus diesem Grund wurde ISO 27007 erstellt. Es erleichtert beiden Parteien eine umfassende Vorbereitung, indem es klare Anweisungen gibt.

Welchen Umfang hat ISO 27007?

In der Norm beschreibt das Framework eine Reihe von Prüfkriterien, die einzeln oder in Kombination für eine Prüfung eines Informationssicherheitsmanagementsystems verwendet werden können, einschließlich, aber nicht beschränkt auf:

• Definieren der Anforderungen für ISO / IEC 27001
• Richtlinien und Anforderungen der relevanten Parteien
• Regulatorische und gesetzliche Anforderungen
• Die ISMS-Prozesse und -Kontrollen der Organisation

Es identifiziert und beschreibt die Managementsystempläne, die sich auf die Ergebnisse eines ISMS beziehen (z. B. einen Plan zum Umgang mit Risiken und Chancen bei der Einrichtung eines ISMS, einen Plan zur Erreichung von Informationssicherheitszielen, einen Plan zur Behandlung von Risiken). .

Dieser Standard ist nicht nur für alle Organisationen unabhängig von ihrer Größe relevant, sondern deckt auch Folgendes ab ISO-Audits Prüfungen unterschiedlichen Umfangs und Ausmaßes, darunter Prüfungen, die von großen Prüfungsteams durchgeführt werden, die häufig mit größeren Organisationen verbunden sind, sowie Prüfungen, die von einzelnen Prüfern unabhängig davon durchgeführt werden, ob diese in großen oder kleinen Unternehmen tätig sind.

Konkret deckt ISO 27007 ISMS-Audits ab, die von Unternehmen an ihren internen Systemen (First-Party) und von ihren externen Dienstleistern und anderen externen Stakeholdern (Second-Party) durchgeführt werden. Es kann auch bei Audits eingesetzt werden, die zu anderen Zwecken als der Zertifizierung von Managementsystemen durch Dritte durchgeführt werden.

Mit welchen anderen Standards arbeitet ISO 27006 zusammen?

ISO 27007 ist relevant für Personen, die interne oder externe Audits eines Informationssicherheits-Managementsystems verstehen oder durchführen müssen, sowie für Personen, die ein Auditprogramm für ein Informationssicherheits-Managementsystem verwalten.

ISO 19011 wurde geschaffen, um den Prozess der Durchführung interner und externer Audits für Managementsysteme im Allgemeinen zu standardisieren.

ISO 27007 ergänzt die ISO 19011-Richtlinien durch zusätzliche Vorschläge. Während ISO 19011 vorschreibt, dass ein Nachweis der Konformität angestrebt werden muss, schlägt ISO 27007 in Anhang A spezifische Nachweise und Bewertungen für ISO 27001-Klauseln und -Kontrollen vor.

Dies bedeutet, dass ISO 27007 eher in einem spezifischen ISO 27001-Kontext empfohlen wird. ISO 19011 hingegen ist die bevorzugte Wahl, wenn Sie auch andere ISO-Managementsysteme wie ISO 9001 und ISO 14001 prüfen müssen.

Was ist ISO 19011?

ISO 19011 ist eine Sammlung von Prüfungsgrundsätzen für Managementsysteme.

Dabei handelt es sich um einen globalen Standard, der Unternehmen bei der Durchführung dieser Audits unterstützt.

ISO 19011 soll Organisationen als Leitfaden für die Entwicklung von Auditprogrammen für ihre Managementsysteme dienen, beispielsweise Risikomanagementsysteme, Qualitätsmanagementsysteme und Umweltmanagementsysteme.

Bei ISO 19011 handelt es sich nicht um eine Reihe von Standards, die von einer Organisation nacheinander befolgt werden müssen, da keine Organisation nach ISO 19011 zertifiziert werden kann. Stattdessen sollte eine Organisation die ISO 19011-Empfehlungen auf die spezifischen Bedürfnisse und Anforderungen des Auditprogramms zuschneiden.

ISO 19011 unterscheidet sich von der internationalen Norm ISO 9001, die Standards für Qualitätsmanagementsysteme festlegt. ISO 9001 ist der einzige Standard in der ISO 9000 Serie, anhand derer Organisationen zertifizieren können.

Was ist der Unterschied zwischen ISO 27007 und ISO 27008?

ISO 27008 wird Empfehlungen für die Prüfung von ISM-Systemen (Information Security Management) für Sicherheitskontrollen geben.

Dies unterscheidet sich von ISO 27007, bei dem es mehr um das Managementsystem (ISMS) als Ganzes geht als um spezifische Kontrollen.

Warum ist die Prüfung von Informationsmanagementsystemen wichtig?

Eine Informationssicherheitsrichtlinien Die vorhandenen Prozesse und Prozesse reichen nicht aus, um den Schutz der Informationsbestände einer Organisation zu gewährleisten.

Möglicherweise sind die Richtlinien unzureichend oder die Einhaltung der Richtlinien ist möglicherweise unzureichend. Es muss ein Audit durchgeführt werden, um sicherzustellen, dass sie ihre Ziele erfolgreich erreichen.

An Die Prüfung von Informationssystemen bestimmt die Wirksamkeit der Kontrollen eines Informationssystems.

Mit einer Prüfung soll festgestellt werden, ob ein Die Informationssysteme der Organisation sind ausreichend gesichert Unternehmensvermögen, Wahrung der Integrität gespeicherter und übertragener Daten, erfolgreiche Unterstützung organisatorischer Ziele und effiziente Leistung.

Ein Informationsmanagementsystem-Audit ist eine methodische, quantifizierbare technische Untersuchung der Umsetzung der Informationssicherheitspolitik einer Organisation. Es ist ein notwendiger Bestandteil des laufenden Prozesses Entwicklung und Umsetzung guter Sicherheitsrichtlinien. Sicherheitsaudits sind eine transparente und quantifizierbare Methode, um festzustellen, wie sicher eine Website wirklich ist.

Dieses Audit wird durchgeführt, um:

• Legen Sie eine Informationssicherheits-Grundlinie für Ihre Organisation fest.
• Identifizieren Sie die Gegenwart Informationssicherheitsverfahren“ Stärken und Schwächen.
• Priorisieren Sie die riskantesten Engagements.
• Unterbreiten Sie Vorschläge zur Risikominderung, die den geltenden Regeln, den Best Practices der Branche im Sicherheitssektor, den Best Practices der Kundenbranche und den Geschäftszielen des Kunden entsprechen.

Das Informationen, die während eines Informationssicherheitsaudits gesammelt werden ermöglicht es der Organisation, fundiertere Entscheidungen darüber zu treffen, wie Finanzen und Ressourcen ausgegeben werden, um Risiken am effektivsten zu verwalten.

Wie ISMS.online die Implementierung von ISO 27007 einfach machen kann

Bei ISMS.online machen wir es Ihnen leicht, Ihre Informationssicherheits-Governance so zu dokumentieren, dass sie dem ISO 27007-Standard entspricht. Wir stellen Ihnen eine logische, benutzerfreundliche, cloudbasierte Informationsverwaltungsschnittstelle zur Verfügung, die Ihrem Unternehmen dabei hilft, seine Infosec-Governance-Prozesse zu überprüfen und Fortschritte im Vergleich zum ISO 27007-Standard zu erzielen.

Unsere cloudbasierte Plattform ermöglicht Ihnen den Zugriff auf alle Ihre ISMS-Ressourcen an einem Ort. Wir verfügen über ein internes Team von Informationssicherheitsexperten, die Ihnen mit Rat und Tat zur Seite stehen und Fragen beantworten können, um Sie auf Ihrem Weg zur ISO 27007-Implementierung zu unterstützen, damit Sie Ihr Engagement für Best Practices für die Informationssicherheits-Governance unter Beweis stellen können. Rufen Sie ISMS.online an +44 (0)1273 041140 Erfahren Sie mehr darüber, wie wir Ihnen bei der Zertifizierung nach ISO 27001 helfen können.