ISO/IEC 27001 ist ein international anerkannter Standard für Informationssicherheits-Managementsysteme (ISMS). Er legt Anforderungen fest, wie Organisationen systematisch Informationssicherheit planen, umsetzen, überwachen und kontinuierlich verbessern können.

Ziel von ISO 27001 

ISO 27001 verfolgt das Ziel, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen innerhalb einer Organisation zu schützen – unabhängig von Branche, Größe oder geografischer Lage.

Hintergrund

Der Standard wurde von der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) gemeinsam entwickelt. Die erste Version erschien 2005. Die aktuelle Version stammt aus dem Jahr 2022.

Kerninhalte von ISO 27001

ISO/IEC 27001 verlangt nicht nur technische Maßnahmen wie Firewalls oder Passwortsicherheit, sondern eine ganzheitliche Steuerung der Informationssicherheit auf Managementebene.
Es geht darum, ein strukturiertes System aufzubauen, das Risiken identifiziert, steuert und regelmäßig verbessert – unterstützt durch definierte Policies, Prozesse und technische wie organisatorische Maßnahmen.

Aufbau des Standards

Der Hauptteil von ISO/IEC 27001 ist in 10 sogenannte "Clauses" (Abschnitte) untergliedert. Diese Clauses geben die Struktur für den Aufbau, Betrieb, die Überwachung und die kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS) vor. 
ISO 27001 verweist auf Anhang A als Referenz für geeignete Sicherheitsmaßnahmen (Controls). Diese Controls sind in 4 Themenbereiche gruppiert:

1. Organisatorische Maßnahmen (z.B. Rollen & Verantwortlichkeiten, Datenschutz, Lieferantenmanagement)

2. Personenbezogene Maßnahmen (z.B. Schulungen, Sicherheit bei Mitarbeiterwechsel)

3. Physische Maßnahmen (z.B. Zugangskontrollen zu Gebäuden)

4.Technologische Maßnahmen (z.B. Verschlüsselung, Netzwerksicherheit, Backup)

Insgesamt enthält der neue Anhang A93 Controls, die auf Basis einer individuellen Risikoanalyse ausgewählt und implementiert werden können.

ISO 27001-Zertifizierung

Organisationen können sich durch unabhängige Zertifizierungsstellen nach ISO 27001 auditieren und zertifizieren lassen. Die Zertifizierung bestätigt, dass ein wirksames ISMS vorhanden und implementiert ist. Gute IT-Dienstleister bieten außerdem ein ISO 27001 Consulting an.

Verwandte Standards

Diese Standards werden oft mit ISO 27001 in Verbindung gebracht:

• ISO/IEC 27002 (Leitfaden für Informationssicherheitsmaßnahmen)
• ISO/IEC 27005 (Risikomanagement)
• ISO/IEC 27701 (Datenschutzmanagement – Erweiterung für Datenschutz)
   

Fazit

Informationssicherheit und damit auch die ISO 27001 ist für nahezu jedes Unternehmen relevant.  Immer mehr Bedeutung gewinnt sie auch durch Kunden, Partner und gesetzliche Vorschriften, da diese einen hohen Standard im Umgang mit sensiblen Informationen verlangen. Die Zertifizierung wird oft als vertrauensbildendes Signal in Ausschreibungen und Geschäftsbeziehungen genutzt.

Zurück zum IT-Lexikon