Wer das lesen sollte: die Person, die gerade Anhang A von ISO 27001 aufgeschlagen, 93 Maßnahmen gezählt hat und nun überlegt, wo man anfangen soll.
Die Norm ordnet diese 93 vier Themen zu: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34). Diese Einteilung hilft einem Auditor beim Ablegen seiner Feststellungen. Als Arbeitsplan ist sie nahezu nutzlos, denn sie sagt nichts darüber, wer die Arbeit macht, wie lange sie dauert oder was zuerst beginnen muss.
Hier eine andere Gruppierung. Dieselben 93 Maßnahmen, sortiert danach, wie ein echtes Projekt läuft.
Gruppe 1: was Sie längst tun, nur ohne Nachweis
Die größte Gruppe, und der Grund, warum die Zahl 93 weniger bedrohlich ist, als sie aussieht.
Sie führen bereits Mitarbeitende ein. Sie entziehen bereits Zugänge beim Austritt, meistens. Sie haben bereits Sicherungen. Sie beschränken bereits den Zugriff auf die Produktion. Sie schließen vermutlich bereits das Büro ab. Ein erheblicher Teil von Anhang A verlangt lediglich, aufzuschreiben, was ohnehin geschieht, und festzuhalten, dass es geschehen ist.
Die Arbeit besteht hier nicht im Aufbau. Sie besteht darin, Gewohnheiten in Aufzeichnungen zu überführen: eine Ein- und Austrittscheckliste mit Daten, eine Zugriffsliste mit Prüfvermerk, ein Sicherungslauf mit angehängtem Testergebnis.
Fangen Sie hier an, weil es schnell geht und den Rest machbar erscheinen lässt. Zwei Wochen unspektakulärer Dokumentation erledigen üblicherweise zwanzig Maßnahmen oder mehr.
Die Falle: eine Richtlinie zu schreiben, die ein idealisiertes Unternehmen beschreibt. Wenn Ihr Austrittsprozess darin besteht, dass jemand dem CTO schreibt, dann schreiben Sie genau das auf und verbessern es danach, statt einen HR-Ablauf zu beschreiben, den es nicht gibt.
Gruppe 2: Entscheidungen, die nur Sie treffen können
Wenige an der Zahl, und sie blockieren alles andere.
Wer Sicherheit verantwortet. Welches Risiko Sie akzeptieren und auf welcher Ebene das freigegeben wird. Was im Anwendungsbereich liegt. Welche Lieferantenbeziehungen zählen. Wie Ihr Klassifizierungsschema aussieht. Ob Sie dieses Jahr einen formalen sicheren Entwicklungsprozess einführen oder nicht.
Das sind keine Aufgaben, die eine Beratung übernehmen oder ein Werkzeug erzeugen kann. Es sind Entscheidungen, und jedes Projekt, das stockt, stockt, weil eine Entscheidung drei Monate offen blieb, während man Dokumente darum herum schrieb.
Wenn Sie diese Punkte in Wochen statt in Quartalen geklärt haben wollen, ist genau das das Ergebnis eines unabhängigen vCISO-Sicherheitsaudits. Die Erklärung zur Anwendbarkeit ist der Ort, an dem diese Entscheidungen festgehalten werden, weshalb dieses Dokument Ihre Aufmerksamkeit verdient, bevor die Arbeit an den Maßnahmen beginnt.
Gruppe 3: die Nachweisquellen, ab Woche eins einschalten
Das ist die Gruppe, die falsch gemacht wird, und der Fehler ist teuer.
Zugriffsüberprüfungen. Protokollsammlung und -auswertung. Schwachstellenscans und Patch-Nachweise. Lieferantenprüfungen. Managementbewertung. Internes Audit. Wiederherstellungstests.
Diese Maßnahmen werden nicht danach beurteilt, ob es sie gibt. Sie werden danach beurteilt, ob sie seit Monaten laufen. Ein Auditor erwartet eine Historie, typischerweise über mehrere Monate, und diese Historie lässt sich nachträglich nicht herstellen. Diese Gruppe können Sie im achten Monat nicht durch mehr Einsatz aufholen.
Die Regel ist deshalb einfach, und sie ist das Nützlichste in diesem Artikel: schalten Sie die Nachweisquellen in Woche eins ein, bevor die Richtlinien fertig und bevor die Risikobeurteilung abgeschlossen ist. Eine vierteljährliche Zugriffsüberprüfung, die zweimal unvollkommen gelaufen ist, schlägt eine perfekte, die eine Woche vor dem Audit startet.
Gruppe 4: die Entwicklungsarbeit
Für ein Softwareunternehmen liegt hier der eigentliche Aufwand, konzentriert im technologischen Thema.
Sicherer Entwicklungszyklus. Konfigurationsmanagement. Trennung von Entwicklungs-, Test- und Produktionsumgebungen. Änderungsmanagement. Sichere Programmierung. Datenmaskierung außerhalb der Produktion. Kryptografie und Schlüsselverwaltung. Überwachung.
Drei davon waren in der Ausgabe 2022 neu, zusammen mit Bedrohungsinformationen, Sicherheit von Cloud-Diensten, Löschung von Informationen, Verhinderung von Datenlecks, Webfilterung, Überwachung der physischen Sicherheit und IKT-Bereitschaft für die Geschäftskontinuität. Insgesamt elf neue Maßnahmen, und genau für sie gibt es keine alte Musterantwort zum Abschreiben, weshalb die meisten Erklärungen zur Anwendbarkeit dort vage werden.
Planen Sie echte Entwicklungswochen für diese Gruppe ein. Das ist der Teil, den kein Dokument löst, und er konkurriert direkt mit Ihrer Produkt-Roadmap.
Gruppe 5: der lange Lieferantenschwanz
Die Lieferantenmaßnahmen sehen in Anhang A nach vier oder fünf Punkten aus. In der Praxis ist es die Gruppe mit der längsten Kalenderzeit, weil die Arbeit davon abhängt, dass andere antworten.
Ihre Lieferantenliste ist länger, als Sie denken. Jemand muss sie inventarisieren, die relevanten einstufen, von ihnen Sicherheitsinformationen einholen, die Bewertung festhalten und einen Prüfzyklus aufsetzen. Jeder Schritt bedeutet Warten auf Dritte.
Fangen Sie früh an, aus demselben Grund wie bei Gruppe 3: die Bremse ist verstrichene Zeit, nicht Aufwand. Dasselbe Problem taucht unter anderen Regimen auf, behandelt in Lieferkettensicherheit und Lieferantenrisiko, und die Überschneidung sorgt dafür, dass die Arbeit doppelt zählt, wenn Sie auch im NIS2-Anwendungsbereich liegen.
Gruppe 6: die, die Sie als nicht anwendbar markieren
Wenn Sie rein cloudbasiert ohne Serverraum arbeiten, trifft ein guter Teil der 14 physischen Maßnahmen nicht so auf Sie zu, wie die Norm es sich vorstellt. Wenn Sie keine Software schreiben, werden die Entwicklungsmaßnahmen über Ihre Lieferantenmaßnahmen abgedeckt.
Eine Maßnahme als nicht anwendbar zu markieren ist legitim und erwartet. Sie als nicht anwendbar zu markieren mit einer Begründung, die bei der ersten Rückfrage zusammenbricht, ist der Punkt, an dem Audits kippen, ausführlich behandelt im Artikel zu Anwendungsbereich und Erklärung zur Anwendbarkeit.
Eine bessere Brille als die vier Themen
Eine wirklich nützliche Neuerung der Ausgabe 2022, die fast niemand nutzt: jede Maßnahme trägt jetzt fünf Attribute. Maßnahmentyp (präventiv, detektierend, korrigierend), Informationssicherheitseigenschaften (Vertraulichkeit, Integrität, Verfügbarkeit), Cybersicherheitskonzepte (identifizieren, schützen, erkennen, reagieren, wiederherstellen), operative Fähigkeiten und Sicherheitsdomänen.
Mit diesen Attributen lässt sich Anhang A nach Fragen statt nach Aktenordnern schneiden. „Zeig mir alle detektierenden Maßnahmen” ist eine weit nützlichere Sicht als „zeig mir das physische Thema”, besonders wenn Sie herausfinden wollen, ob Sie einen Vorfall überhaupt bemerken würden. Eine Maßnahmenbibliothek mit Attributen und rahmenübergreifender Zuordnung macht daraus statt einer Tabellenübung einen Filter.
Was das für die Reihenfolge bedeutet
Wenn Sie aus einer normalen, ungesteuerten Ausgangslage starten:
- Woche eins: Nachweisquellen einschalten (Gruppe 3) und Lieferanteninventar beginnen (Gruppe 5).
- Wochen eins bis drei: die Entscheidungen treffen (Gruppe 2) und die Erklärung zur Anwendbarkeit schreiben.
- Wochen zwei bis sechs: dokumentieren, was Sie ohnehin tun (Gruppe 1).
- Monate zwei bis fünf: die Entwicklungsarbeit (Gruppe 4), parallel zu allem anderen.
- Durchgehend: die Nachweise sammeln sich an, und genau darum geht es.
Beachten Sie, dass die Gruppen 3 und 5 zuerst starten, obwohl sie zuletzt fertig werden. Das ist der ganze Trick. Wie sich diese Monate in der Praxis summieren und welcher Teil des Kalenders sich gar nicht komprimieren lässt, steht in wie lange ISO 27001 wirklich dauert. Für das Gesamtbild einer Erstzertifizierung ohne Sicherheitsfunktion beginnen Sie mit ISO 27001 für ein Unternehmen ohne Sicherheitsteam, und zur Budgetfrage mit Sind 50.000 Euro für ISO 27001 das wert. Den vollständigen Weg zeigt unsere ISO-27001-Lösungsseite.
Die technische Realität: eine Maßnahme sagt, dass Sie etwas tun sollen, nicht wie gut
Hier ist, was Anhang A offenlässt, und das ist strukturell, nicht zufällig.
Fast jede Maßnahme ist als zu erreichendes Ergebnis formuliert, nicht als einzuhaltendes Niveau. Das ist Absicht, denn die Norm muss auf ein Startup mit drei Personen ebenso passen wie auf eine Bank. Die Folge: die Latte legt Ihre eigene Erklärung zur Anwendbarkeit und das, was Ihr Auditor akzeptiert, nicht das, was ein Angreifer überwinden müsste.
Konkret, innerhalb des Wortlauts der Maßnahmen:
- Zugriffskontrolle ist mit einem dokumentierten Prozess und einer regelmäßigen Überprüfung erfüllt. Sie verlangt nicht, dass Mehrfaktor-Authentifizierung erzwungen statt nur verfügbar ist, und genau auf dem Altpfad, den alle nutzen, lebt dieser Unterschied.
- Protokollierung und Überwachung sind mit Sammeln und Aufbewahren erfüllt. Erkennung ist eine andere Frage, und ein Protokoll, das niemand liest, ist ein Speicherkostenposten, keine Maßnahme.
- Sicherung ist erfüllt, wenn Sicherungen laufen und getestet werden. Zu prüfen, ob der Job erfolgreich meldete, ist nicht dasselbe wie eine vollständige Wiederherstellung unter Zeitdruck, und nur eines von beidem sagt Ihnen, ob Sie zurückkommen.
- Schwachstellenmanagement ist mit einem dokumentierten Patch-Zyklus erfüllt. Wenn Sie quartalsweise dokumentiert haben, ist quartalsweise der Maßstab, an dem Sie gemessen werden, und eine kritische Schwachstelle, die elf Wochen in der Produktion steht, liegt innerhalb Ihrer eigenen Richtlinie.
- Lieferantensicherheit ist mit einer abgelegten Bewertung erfüllt. Ob der Lieferant tatsächlich tut, was der Fragebogen behauptet, prüft in Anhang A nichts.
Nichts davon macht die Norm nutzlos. Es macht sie zu einem Boden. Der sinnvolle Umgang ist, Anhang A zweimal durchzugehen: einmal mit der Frage „erfüllt das die Maßnahme”, was Sie zertifiziert, und einmal mit der Frage „würde das jemanden aufhalten”, was Sie sicher macht. Wo die beiden Antworten auseinandergehen, schreiben Sie die Abweichung auf. Diese Liste ist kurz, sie ist unbequem, und sie ist mehr wert als das Zertifikat.
