Projektplan

Unterteilt in eine organisatorische und eine technische Ebene führt Sie der eingebaute Projektplan durch alle notwendigen Schritte und gibt Ihnen hilfreiche Tipps auf dem Weg dorthin.

Stakeholder-Analyse

Ein wichtiger Teil der Planungs-Phase besteht darin, ein besseres Verständnis Ihrer Organisation, der Interessengruppen und der Anforderungen, die diese haben könnten, zu erlangen. Die Durchführung ist wichtig, da das Ergebnis Auswirkungen auf die Gestaltung Ihres ISMS haben wird.
In Instant 27001 haben alle Abschnitte und Maßnahmen jeweils eine eigene Seite, auf der die Anforderung aus dem Standard sowie eine Anleitung, was Sie tun sollten, enthalten sind. Unter Implementierung finden Sie jeweils ein konkretes Beispiel der Umsetzung, das dann nur noch an Ihre eigene Organisation angepasst werden muss.

Die Implementierung kann auch auf andere, bereits vorhandene Dokument Ihrer Organisation, verweisen. Am Beispiel der Stakeholder-Analyse wurden die Inhalte aus Gründen der Lesbarkeit auf einer eigenen Seite definiert.

Risikobeurteilung

Der vielleicht wichtigste Teil von ISO 27001 ist die Risikobeurteilung und anschließend die Auswahl der richtigen Maßnahmen zur Risikominderung. Die Norm verlangt, dass hierfür zunächst eine Methodik definiert wird. Instant 27001 wird mit einer qualitativen Methodik zur Risikobeurteilung ausgeliefert, die auf SPRINT basiert.

Um den Prozess zu beschleunigen wird eine Liste mit 36 gängigen Bedrohungen mitgeliefert. Diese sollten zunächst auf ihre Relevanz hin evaluiert werden. Danach können neue Risiken auf der Grundlage der mitgelieferten Risikovorlage hinzugefügt werden. Das hier beispielhaft gezeigte Risiko kann durch die Einführung einer Richtlinie für mobile Geräte (A.6.2.1) und einer Kryptographie-Richtlinie (A.10.1.1) gemildert werden.

Risikobehandlung

Die bei den einzelnen Risiken im Bereich Behandlung erfassten Informationen werden zur automatischen Generierung des Risikobehandlungsplans verwendet. Die automatische Erzeugung spart enorm viel Zeit und ermöglicht die Fokussierung auf die Behandlung des Risikos selbst.

Informationssicherheitsmaßnahmen

Der Anhang A von ISO 27001 definiert 114 normative Sicherheitsmaßnahmen, die zur Minderung der oben definierten Risiken eingesetzt werden können.

Richtlinien und Verfahren

Alle mitgelieferten Richtlinien und Verfahren werden jeweils auf einer eigenen Seite definiert, um eine einfache Verlinkung und Weiterverteilung zu ermöglichen (Inhalte können als Word- oder PDF-Dateien exportiert werden).

Erklärung zur Anwendbarkeit

Nachdem alle Maßnahmen des Anhangs A auf ihre Relevanz (d.h. ihre Fähigkeit, eines oder mehrere der von Ihnen zuvor identifizierten Risiken zu mindern) bewertet worden sind, muss eine Erklärung zur Anwendbarkeit erstellt werden. Instant 27001 erzeugt diese automatisch, indem die zuvor auf den Seiten der Maßnahmen dokumentierten Informationen verwendet werden.

Überwachen und Messen

Sobald die Implementierung der Sicherheitsmaßnahmen abgeschlossen ist, müssen Sie gemäß ISO 27001 darüber nachdenken, wie Sie im Laufe des Jahres überwachen wollen, dass die Maßnahmen wirksam sind.

Hierfür können die Maßnahmen mit Prüfdetails erweitert werden. Auch diese Informationen werden dann verwendet, um automatisch den lt. Norm geforderten Überwachungsplan zu erstellen. Den resultierenden Zeitplan müssen Sie nur noch in Ihren eigenen Kalender oder Ihr Ticketingsystem übertragen.