Praxisbuch ISO/IEC 27001 E-Book

Michael Brenner

• Herausgeber: Carl Hanser Verlag GmbH & Co. KG
• Kategorie: Wissenschaft und neue Technologien
• Sprache: Deutsch
• Veröffentlichungsjahr: 2022

Seitenzahl: 309

Beschreibung

Das umfassende Praxisbuch zum Management der Informationssicherheit
• Aktuell zur Norm ISO/IEC 27001:2022
• Unentbehrlich für Betreiber kritischer Infrastrukturen (-> IT-Sicherheitsgesetz)
• Mit 80 Prüfungsfragen zur Vorbereitung auf die Foundation-Zertifizierung

Das Praxisbuch zur Informationssicherheit — so setzen Sie die Anforderungen des IT-Sicherheitsgesetzes um.
Informationen zählen zum wertvollsten Kapital vieler Unternehmen. Egal ob Kunden-, Lieferanten-, Produkt-, Produktions- oder Mitarbeiterdaten – gerät davon etwas in falsche Hände, ist oft das Überleben des Unternehmens gefährdet. Wenn Sie in Ihrem Unternehmen Verantwortung für Informationssicherheits-Themen übernehmen, müssen Sie sich mit der ISO/IEC 27001 auseinandersetzen. Ein dieser Norm entsprechendes Informationssicherheits-Managementsystem ist zunehmend Voraussetzung für die Erfüllung von Kunden-Anforderungen sowie gesetzlicher und behördlicher Vorgaben, u. a. im Rahmen des IT-Sicherheitsgesetzes.
In diesem Buch erhalten Sie die optimale Unterstützung für den Aufbau eines wirksamen Informationssicherheits-Managementsystems. Die Autoren vermitteln zunächst das notwendige Basiswissen zur ISO/IEC 27001 sowie zur übergeordneten Normenreihe ISO/IEC 27000 und erklären anschaulich die Grundlagen von Informationssicherheits-Managementsystemen.
Im Hauptteil des Buches finden Sie alle wesentlichen Teile der DIN ISO/IEC 2700:2022. Die Autoren geben Ihnen hilfreiche Erläuterungen dazu und wertvolle Praxistipps, die Ihnen bei der Umsetzung der Norm in Ihrem Unternehmen helfen. Ebenfalls enthalten sind Prüfungsfragen und -antworten, mit deren Hilfe Sie sich optimal auf die Foundation-Zertifizierung vorbereiten können.

Michael Brenner, Nils gentschen Felde, Wolfgang Hommel, Stefan Metzger, Helmut Reiser und Thomas Schaaf arbeiten an der Ludwig-Maximilians-Universität München, der Universität der Bundeswehr München, am Leibniz-Rechenzentrum der Bayerischen Akademie der Wissenschaften sowie bei den Stadtwerken München. Als Mitglieder der Forschungsgruppe Munich Network Management Team (www.mnm-team.org) forschen und lehren sie alle zu den Themen Informationssicherheitsmanagement und IT-Service-Management.

Leseprobe

Michael BrennerNils gentschen FeldeWolfgang HommelStefan MetzgerHelmut ReiserThomas Schaaf

PraxisbuchISO/IEC 27001

Management der Informationssicherheit und Vorbereitung auf die Zertifizierung

4., überarbeitete Auflage

Die Autoren:

Dr. Michael Brenner, MünchenDr. Nils gentschen Felde, MünchenProf. Dr. Wolfgang Hommel, TaufkirchenStefan Metzger, GreifenbergProf. Dr. Helmut Reiser, WolfersdorfDr. Thomas Schaaf, München

Die vollständige DIN ISO/IEC 27001 sowie Auszüge aus DIN EN ISO/IEC 27000:2020 sowie aus ISO/IEC 27001 DAM 1 Entwurf sind wiedergegeben mit der Erlaubnis des DIN Deutsches Institut für Normung e.V. Maßgebend für das Anwenden der DIN-Norm ist deren Fassung mit dem neuesten Ausgabedatum, die bei der Beuth Verlag GmbH, Burggrafenstraße 6, 10787 Berlin, erhältlich ist.

Alle in diesem Buch enthaltenen Informationen, Verfahren und Darstellungen wurden nach bestem Wissen zusammengestellt und mit Sorgfalt getestet. Dennoch sind Fehler nicht ganz auszuschließen. Aus diesem Grund sind die im vorliegenden Buch enthaltenen Informationen mit keiner Verpflichtung oder Garantie irgendeiner Art verbunden. Autoren und Verlag übernehmen infolgedessen keine juristische Verantwortung und werden keine daraus folgende oder sonstige Haftung übernehmen, die auf irgendeine Art aus der Benutzung dieser Informationen – oder Teilen davon – entsteht.Ebenso übernehmen Autoren und Verlag keine Gewähr dafür, dass beschriebene Verfahren usw. frei von Schutzrechten Dritter sind. Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Buch berechtigt deshalb auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürften.

Bibliografische Information der Deutschen Nationalbibliothek:Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.

Dieses Werk ist urheberrechtlich geschützt.Alle Rechte, auch die der Übersetzung, des Nachdruckes und der Vervielfältigung des Buches, oder Teilen daraus, vorbehalten. Kein Teil des Werkes darf ohne schriftliche Genehmigung des Verlages in irgendeiner Form (Fotokopie, Mikrofilm oder ein anderes Verfahren) – auch nicht für Zwecke der Unterrichtsgestaltung – reproduziert oder unter Verwendung elektronischer Systeme verarbeitet, vervielfältigt oder verbreitet werden.

© 2022 Carl Hanser Verlag München, www.hanser-fachbuch.deLektorat: Sylvia HasselbachCopy editing: Sandra Gottmann, WasserburgLayout: die Autoren mit LaTeXUmschlagdesign: Marc Müller-Bremer, www.rebranding.de, MünchenUmschlagrealisation: Max KostopoulosTitelmotiv: © istockphoto.com/bortonia

Print-ISBN:        978-3-446-47395-9E-Book-ISBN:   978-3-446-47458-1E-Pub-ISBN:     978-3-446-47615-8

Inhaltsverzeichnis

Titelei

Impressum

Inhalt

Vorwort

1 Einführung und Basiswissen

1.1 Worum geht es in ISO/IEC 27001?.

1.2 Begriffsbildung

1.2.1 Informationen

1.2.2 Informationssicherheit

1.2.3 Sicherheitsanforderungen und Schutzziele

1.3 IT-Sicherheitsgesetz & KRITIS

1.3.1 Was ist „KRITIS“?

1.3.2 Wer ist in Deutschland von KRITIS betroffen?

1.3.3 KRITIS-Anforderungen – Informationssicherheit nach dem „Stand der Technik“

1.4 Datenschutz-Grundverordnung.

1.5 Überblick über die folgenden Kapitel.

1.6 Beispiele für Prüfungsfragen zu diesem Kapitel

2 Die Standardfamilie ISO/IEC 27000 im Überblick

2.1 Warum Standardisierung?

2.2 Grundlagen der ISO/IEC 27000

2.3 Normative vs. informative Standards

2.4 Die Standards der ISMS-Familie und ihre Zusammenhänge.

2.4.1 ISO/IEC 27000: Grundlagen und Überblick über die Standardfamilie

2.4.2 Normative Anforderungen.

2.4.3 Allgemeine Leitfäden

2.4.4 Sektor- und maßnahmenspezifische Leitfäden.

2.5 Zusammenfassung

2.6 Beispiele für Prüfungsfragen zu diesem Kapitel

3 Grundlagen von Informationssicherheitsmanagementsystemen

3.1 Das ISMS und seine Bestandteile.

3.1.1 (Informations-)Werte.

3.1.2 Richtlinien, Prozesse und Verfahren

3.1.3 Dokumente und Aufzeichnungen

3.1.4 Zuweisung von Verantwortlichkeiten

3.1.5 Maßnahmen

3.2 Was bedeutet Prozessorientierung?

3.3 Die PDCA-Methodik: Plan-Do-Check-Act

3.3.1 Planung (Plan)

3.3.2 Umsetzung (Do).

3.3.3 Überprüfung (Check).

3.3.4 Verbesserung (Act)

3.4 Zusammenfassung

3.5 Beispiele für Prüfungsfragen zu diesem Kapitel

4 ISO/IEC 27001 – Spezifikationen und Mindestanforderungen

4.0 Einleitung

4.0.1 Allgemeines

4.0.2 Kompatibilität mit anderen Normen für Managementsysteme

4.1 Anwendungsbereich

4.2 Normative Verweisungen.

4.3 Begriffe

4.4 Kontext der Organisation

4.4.1 Verstehen der Organisation und ihres Kontextes

4.4.2 Verstehen der Erfordernisse und Erwartungen interessierter Parteien.

4.4.3 Festlegen des Anwendungsbereichs des Informationssicherheitsmanagementsystems

4.4.4 Informationssicherheitsmanagementsystem

4.5 Führung

4.5.1 Führung und Verpflichtung

4.5.2 Politik

4.5.3 Rollen, Verantwortlichkeiten und Befugnisse in der Organisation.

4.6 Planung

4.6.1 Maßnahmen zum Umgang mit Risiken und Chancen.

4.6.2 Informationssicherheitsziele und Planung zu deren Erreichung

4.7 Unterstützung

4.7.1 Ressourcen

4.7.2 Kompetenz

4.7.3 Bewusstsein

4.7.4 Kommunikation

4.7.5 Dokumentierte Information.

4.8 Betrieb.

4.8.1 Betriebliche Planung und Steuerung.

4.8.2 Informationssicherheitsrisikobeurteilung

4.8.3 Informationssicherheitsrisikobehandlung

4.9 Bewertung der Leistung

4.9.1 Überwachung, Messung, Analyse und Bewertung

4.9.2 Internes Audit

4.9.3 Managementbewertung

4.10 Verbesserung

4.10.1 Nichtkonformität und Korrekturmaßnahmen

4.10.2 Fortlaufende Verbesserung

4.11 Zusammenfassung

4.12 Beispiele für Prüfungsfragen zu diesem Kapitel

5 Maßnahmen im Rahmen des ISMS

5.1 A.5 Organizational Controls – Organisatorisches Maßnahmen

5.1.1 A.5.1 Informationssicherheitsrichtlinien

5.1.2 A.5.2 Rollen und Verantwortlichkeiten für die Informationssicherheit

5.1.3 A.5.3 Aufgabentrennung

5.1.4 A.5.4 Verantwortung des Topmanagements.

5.1.5 A.5.5 Kontakt zu Behörden.

5.1.6 A.5.6 Kontakt zu speziellen Interessengruppen.

5.1.7 A.5.7 Erkenntnisse zur Bedrohungslage

5.1.8 A.5.8 Informationssicherheit im Projektmanagement

5.1.9 A.5.9 Inventar der Informationswerte und anderer damit verbundener Assets

5.1.10 A.5.10 Zulässige Nutzung von Informationen und anderen damit verbundenen Assets

5.1.11 A.5.11 Rückgabe von Assets.

5.1.12 A.5.12 Klassifizierung von Informationen

5.1.13 A.5.13 Kennzeichnung von Informationen

5.1.14 A.5.14 Übertragung oder Transport von Informationen

5.1.15 A.5.15 Zugangssteuerung

5.1.16 A.5.16 Identitätsmanagement

5.1.17 A.5.17 Authentisierungsinformationen

5.1.18 A.5.18 Zugangsberechtigungen

5.1.19 A.5.19 Informationssicherheit in Lieferantenbeziehungen

5.1.20 A.5.20 Berücksichtigung der Informationssicherheit in Vereinbarungen mit Lieferanten

5.1.21 A.5.21 Management der Informationssicherheit in der IKT-Lieferkette

5.1.22 A.5.22 Überwachung, Überprüfung und Management von Änderungen der Dienstleistungen von Lieferanten.

5.1.23 A.5.23 Informationssicherheit bei der Verwendung von Clouddiensten

5.1.24 A.5.24 Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen

5.1.25 A.5.25 Beurteilung und Entscheidung über Informationssicherheitsereignisse

5.1.26 A.5.26 Reaktion auf Informationssicherheitsvorfälle

5.1.27 A.5.27 Lernen aus Informationssicherheitsvorfällen.

5.1.28 A.5.28 Sammeln von Beweisen

5.1.29 A.5.29 Informationssicherheit bei Betriebsunterbrechungen

5.1.30 A.5.30 IKT-bezogene Vorkehrungen zum Erhalt der Geschäftskontinuität

5.1.31 A.5.31 Gesetzliche, behördliche und vertragliche Anforderungen

5.1.32 A.5.32 Rechte an geistigem Eigentum

5.1.33 A.5.33 Schutz von Aufzeichnungen

5.1.34 A.5.34 Privatsphäre und Schutz personenbezogener Daten

5.1.35 A.5.35 Unabhängige Überprüfung der Informationssicherheit

5.1.36 A.5.36 Konformität mit Richtlinien, Regeln und Standards für die Informationssicherheit

5.1.37 A.5.37 Dokumentierte Betriebsverfahren.

5.2 A.6 People Controls –Maßnahmen in Verbindung mit Menschen

5.2.1 A.6.1 Screening

5.2.2 A.6.2 Vertragsbedingungen für die Beschäftigung.

5.2.3 A.6.3 Sensibilisierung, Ausbildung und Schulung für Informationssicherheit

5.2.4 A.6.4 Disziplinarverfahren

5.2.5 A.6.5 Verantwortlichkeiten nach Beendigung oder Wechsel des Beschäftigungsverhältnisses

5.2.6 A.6.6 Vertraulichkeits- oder Geheimhaltungsvereinbarungen.

5.2.7 A.6.7 Remote-Arbeiten

5.2.8 A.6.8 Meldung von Informationssicherheitsereignissen

5.3 A.7 Physical Controls – Physische Maßnahmen

5.3.1 A.7.1 Physische Sicherheitsperimeter

5.3.2 A.7.2 Physischer Zutritt.

5.3.3 A.7.3 Sicherung von Büros, Räumlichkeiten und Einrichtungen

5.3.4 A.7.4 Überwachung der physischen Sicherheit

5.3.5 A.7.5 Schutz vor physischen und umgebungsbedingten Gefährdungen

5.3.6 A.7.6 Arbeiten in Sicherheitszonen

5.3.7 A.7.7 Aufgeräumter Schreibtisch und Gerätesperre

5.3.8 A.7.8 Platzierung und Schutz von Betriebsmitteln

5.3.9 A.7.9 Sicherheit von Assets außerhalb der Standorte der Organisation

5.3.10 A.7.10 Speichermedien

5.3.11 A.7.11 Unterstützende Versorgungseinrichtungen

5.3.12 A.7.12 Sicherheit der Verkabelung

5.3.13 A.7.13 Wartung von Betriebsmitteln.

5.3.14 A.7.14 Sichere Entsorgung oder Wiederverwendung von Betriebsmitteln

5.4 A.8 Technological Controls – Technische Maßnahmen

5.4.1 A.8.1 Anwender-Endgeräte

5.4.2 A.8.2 Privilegierte Zugangsberechtigungen

5.4.3 A.8.3 Einschränkung des Zugangs zu Informationen

5.4.4 A.8.4 Zugang zu Source Code.

5.4.5 A.8.5 Sichere Authentisierung

5.4.6 A.8.6 Kapazitätsmanagement

5.4.7 A.8.7 Schutz vor Schadsoftware

5.4.8 A.8.8 Management technischer Schwachstellen.

5.4.9 A.8.9 Konfigurationsmanagement

5.4.10 A.8.10 Löschung von Informationen

5.4.11 A.8.11 Datenmaskierung

5.4.12 A.8.12 Vermeidung von Datenabfluss

5.4.13 A.8.13 Datensicherung

5.4.14 A.8.14 Redundanz informationsverarbeitender Systeme

5.4.15 A.8.15 Protokollierung

5.4.16 A.8.16 Überwachungsaktivitäten

5.4.17 A.8.17 Uhrensynchronisation

5.4.18 A.8.18 Verwendung von privilegierten Dienstprogrammen.

5.4.19 A.8.19 Installation von Software auf operativen Systemen

5.4.20 A.8.20 Netzsicherheit

5.4.21 A.8.21 Sicherheit von Netzdiensten

5.4.22 A.8.22 Trennung von Netzen

5.4.23 A.8.23 Webfilterung

5.4.24 A.8.24 Einsatz von Kryptographie.

5.4.25 A.8.25 Lebenszyklus der sicheren Entwicklung

5.4.26 A.8.26 Anforderungen an die Sicherheit von Anwendungen.

5.4.27 A.8.27 Sichere Systemarchitektur und Entwicklungsgrundsätze

5.4.28 A.8.28 Sichere Programmierung

5.4.29 A.8.29 Sicherheitstests in Entwicklung und Abnahme

5.4.30 A.8.30 Ausgelagerte Entwicklung

5.4.31 A.8.31 Trennung von Entwicklungs-, Test- und Produktivumgebungen

5.4.32 A.8.32 Change Management.

5.4.33 A.8.33 Testdaten

5.4.34 A.8.34 Schutz von Informationssystemen während Audits

5.5 Beispiele für Prüfungsfragen zu diesem Kapitel

6 Verwandte Standards und Rahmenwerke

6.1 Standards und Rahmenwerke für IT- und Informationssicherheit

6.1.1 IT-Grundschutz-Kompendium

6.1.2 BSI-Standards

6.1.3 CISIS12

6.1.4 Cybersecurity Framework

6.1.5 ISO/IEC 15408

6.1.6 VDA ISA (TISAX)

6.2 Standards und Rahmenwerke für Qualitätsmanagement, Auditierung und Zertifizierung.

6.2.1 ISO 9000

6.2.2 ISO 19011

6.2.3 ISO/IEC 17020

6.3 Standards und Rahmenwerke für Governance und Management in der IT

6.3.1 ITIL.

6.3.2 ISO/IEC 20000

6.3.3 FitSM.

6.4 Beispiele für Prüfungsfragen zu diesem Kapitel

7 Zertifizierungsmöglichkeiten nach ISO/IEC 27000

7.1 ISMS-Zertifizierung nach ISO/IEC 27001

7.1.1 Grundlagen der Zertifizierung von Managementsystemen

7.1.2 Typischer Ablauf einer Zertifizierung

7.1.3 Auditumfang

7.1.4 Akzeptanz und Gültigkeit des Zertifikats

7.1.5 Aufwände und Kosten für Zertifizierungen.

7.2 Personenqualifizierung auf Basis von ISO/IEC 27000

7.2.1 Programme zur Ausbildung und Zertifizierung von Personal

7.2.2 Erlangen eines Foundation-Zertifikats.

7.3 Zusammenfassung

7.4 Beispiele für Prüfungsfragen zu diesem Kapitel

A Begriffsbildung nach ISO/IEC 27000

B Abdruck der DIN ISO/IEC 27001

B.1 ISO/IEC 27001:2017

B.2 ISO/IEC 27001:2017,Anhang A

B.3 ISO/IEC 27001:2022, Anhang A

B.4 Vergleich: Anhang A :2022 vs. :2017

C Prüfungsfragen mit Antworten zur ISO/IEC 27001 Foundation

C.1 Antworten auf die Prüfungsfragen zu den einzelnen Buchkapiteln

C.2 Ein beispielhafter Prüfungsfragebogen zur ISO/IEC 27001-Foundation-Prüfung

C.3 Antworten auf den Prüfungsfragebogen zur ISO/IEC 27001-Foundation-Prüfung

Literaturverzeichnis

Vorwort

Liebe Leserinnen und Leser,

dieses Buch ist dafür konzipiert, Sie auf Basis des Wortlauts der internationalen Norm ISO/IEC 27001 in das Thema Informationssicherheitsmanagementsysteme einzuführen, auf eine Personenzertifizierung vorzubereiten und als Nachschlagewerk zu dienen.

Im Jahr 2022 haben sich im wichtigen Anhang A der internationalen ISO/IEC 27001 größere Veränderungen ergeben, deren Überführung in die deutsche DIN ISO/IEC 27001 zum Zeitpunkt der Drucklegung der vorliegenden vierten Auflage dieses Buchs noch in Arbeit sind. Kapitel 4 des Buchs enthält den deutschen Wortlaut der DIN ISO/IEC 27001:2017, da die entsprechenden Teile in der englischen Norm bis auf kleine textuelle Ergänzungen, die wir berücksichtigt haben, nicht verändert wurden. Anhang B.1 enthält die deutsche Fassung der Norm ISO/IEC 27001 vollständig und im Original-Wortlaut und -Layout. Für die noch nicht offiziell übersetzten veränderten Teile der Norm, also den Anhang A, liefern wir in Kapitel 5 des Buchs zusätzlich eigene deutsche Fachübersetzungen, sowie in Anhang B.3 einen tabellarischen Überblick über alle aktuellen Maßnahmen (Controls), damit Sie sowohl mit dem englischen Original als auch einem deutschen Text arbeiten können.

Das erste Kapitel führt Sie kompakt in die spannende, aber auch komplexe Welt der Informationssicherheit, Managementsysteme und Standards ein. Nach einem Überblick über die Reihe der ISO/IEC 27000-Standards und die Grundlagen von Informationssicherheitsmanagementsystemen finden Sie in den Kapiteln 4 und 5 alle Anforderungen und Maßnahmen aus ISO/IEC 27001. Sie werden in grau hinterlegten Boxen wörtlich wiedergegeben und zusätzlich erläutert. Die Schwerpunkte der Erklärungen orientieren sich an den Inhalten der Prüfungen zu den Foundation-Lehrgangskonzepten u. a. von APMG, ICO und TÜV Süd Akademie; das Buch ist aber auch für die Vorbereitung auf die Prüfung in einem der anderen Qualifizierungsprogramme nach ISO/IEC 27001 verwendbar. Ferner finden Sie in diesem Buch insgesamt 80 Beispiel-Prüfungsfragen. Ihr Format und Schwierigkeitsgrad entspricht dem der ISO/IEC 27001 Foundation-Prüfung der TÜV Süd Akademie mit genau einer richtigen Antwort pro Frage. Die Hälfte der Fragen finden Sie über die Kapitel 2–7 verteilt jeweils am Ende, wo auch die wichtigsten Inhalte nochmals kompakt zusammengefasst werden. Im Anhang finden Sie dann nochmals 40 Fragen am Stück. Dies entspricht dem Umfang der „richtigen“ Prüfung. Dadurch können Sie ein Gespür für die 60 Minuten Prüfungszeit entwickeln.

Wir wünschen Ihnen viel Erfolg bei der Prüfung und bei der praktischen Anwendung!

München, im September 2022

Die Autoren

Aufgrund der besseren Lesbarkeit haben wir auf eine gendergerechte Sprache verzichtet. Selbstverständlich sprechen wir aber alle Personen jeglichen Geschlechts gleichermaßen an.

1Einführung und Basiswissen

Nachdem das Thema Informationssicherheit einige Jahrzehnte lang ein gewisses Nischendasein gefristet hat, gewinnt es in den letzten Jahren massiv an Bedeutung. Das hängt nicht zuletzt mit einem steigenden öffentlichen Bewusstsein für die Sicherheit und den Schutz von Daten und Informationen zusammen. Auch die mediale Aufmerksamkeit ist einem Unternehmen sicher, wenn sich beispielsweise herausstellt, dass es nachlässig mit seinen Kundendaten umgeht, oder wenn sicherheitsrelevante Vorfälle zu Ausfällen mit großer geschäftlicher Auswirkung führen.

Der Gesetzgeber hat mit dem IT-Sicherheitsgesetz und entsprechenden Verordnungen kritische Infrastrukturen definiert. Für diese wurden höhere rechtliche Anforderungen im Hinblick auf die IT-Sicherheit erlassen und die Betreiber verpflichtet, angemessene organisatorische und technische Vorkehrungen für die IT-Sicherheit zu treffen und dabei den Stand der Technik einzuhalten.

Wenn sich eine Organisation heute vornimmt, einen strukturierten Ansatz zum wirksamen Management der Informationssicherheit einzuführen, kommt sie an der Standard-Reihe ISO/IEC 27000 praktisch nicht vorbei. Bei ISO/IEC 27000 handelt es sich um eine Reihe von Dokumenten, in denen verschiedene Aspekte des Informationssicherheitsmanagements betrachtet werden. Dass es sich um von der ISO (International Organization for Standardization) und der IEC (International Electrotechnical Commission) standardisierte Dokumente handelt, erhöht dabei die Verbreitung, Bedeutung und Akzeptanz dieser Standards ganz maßgeblich. Das zentrale und wichtigste Dokument der Reihe ist dabei ISO/IEC 27001.

1.1Worum geht es in ISO/IEC 27001?

Die Standardfamilie ISO/IEC 27000 befasst sich hauptsächlich mit drei Kernbereichen:

1.      Begriffe: Es werden die wichtigsten Fachbegriffe aus der Welt der Informationssicherheit definiert.

2.      Grundlegendes Managementsystem: Es wird beschrieben, was eine Organisation umzusetzen hat und sicherstellen muss, um die eigenen Aktivitäten und Maßnahmen im Bereich Informationssicherheit wirksam steuern zu können.

3.      Maßnahmen: Es werden Maßnahmen beschrieben, die eine Organisation grundsätzlich umzusetzen hat, um ein hohes Maß an Informationssicherheit gewährleisten zu können.

Dieses Buch bietet einen Überblick über alle drei Bereiche. Während die beiden letzteren in späteren Kapiteln behandelt werden, beschäftigt sich dieses Kapitel zunächst mit der Begriffsbildung.

1.2Begriffsbildung

Die Standardfamilie ISO/IEC 27000 dient ganzwesentlich dazu, die Verwendung von Fachbegriffen zu vereinheitlichen. Nur so kann erreicht werden, dass diejenigen, die sich mit Informationssicherheitsmanagement beschäftigen, nicht aneinander vorbeireden, obwohl sie eigentlich inhaltlich dasselbe meinen.

Im Folgenden werden die wichtigsten Begriffe und Grundlagen rund um das Thema Informationssicherheit vorgestellt, die zum Verständnis der ISO/IEC 27000 Standards erforderlich sind.

1.2.1Informationen

In unserer inzwischen hochgradig vernetzten Welt sind Informationen Werte, die von entscheidender Wichtigkeit für den Geschäftsbetrieb einer Organisation sind. Dabei sind diese Informationen einer stark zunehmenden Zahl von Bedrohungen ausgesetzt. Informationssysteme, Netze und Organisationen sind dabei beispielsweise durch Cyber-Angriffe (Ransomware, Denial-of-Service-Angriffe, Hacking, Spam etc.), Sabotage, Spionage und Vandalismus, aber auch Elementarschäden durch Wasser, Feuer sowie Katastrophen und andere Gefahren gefährdet. Gesetzliche Regelungen (wie z. B. das IT-Sicherheitsgesetz oder die Datenschutz-Grundverordnung) fordern entsprechend Schutzmaßnahmen für sensible Informationen.

Der Begriff „Informationen“ wird hierbei sehr weit gefasst. Sie können in Form verschiedener Medien vorliegen: geschrieben, gedruckt, elektronisch, als Film etc., und auf unterschiedlichen Wegen übermittelt werden, z. B. per Post, per Funk, über das Internet usw. Unabhängig vom Medium und vom Übertragungsweg ist die Aufgabe der Informationssicherheit, diese Informationen angemessen vor der zunehmenden Zahl von Bedrohungen zu schützen. Nur so können die Risiken minimiert, der Geschäftsbetrieb gesichert und die Wettbewerbsfähigkeit, Rentabilität sowie die Chancen einer Organisation maximiert werden.

1.2.2Informationssicherheit

Für die Informationssicherheit existiert, anders als beispielsweise für Gewichte, Längen oder Temperaturen, keine physikalische Maßeinheit, um sie einfach in Zahlen – also quantitativ – auszudrücken. Deshalb wählen die Standards der Reihe ISO/IEC 27000 – und damit auch das Hauptdokument ISO/IEC 27001 – einen praxisbewährten qualitativen Ansatz über Schutzziele. Diese werden nachfolgend im Einzelnen vorgestellt und genauer erläutert.

1.2.3Sicherheitsanforderungen und Schutzziele

Die Gefährdung wichtiger Informationen lässt sich alleine mit Beispielen natürlich nur ungenau und unvollständig fassen. In der ISO/IEC 27000 und im Security Engineering werden deshalb abstrakte Schutzziele bzw. Sicherheitsanforderungen für Informationswerte (zum Begriff der „(Informations-)Werte“ vgl. Kapitel 3.1.1) definiert. Die zentralen Schutzziele sind Vertraulichkeit, Integrität und Verfügbarkeit (engl. Confidentiality, Integrity and Availability, als Eselsbrücke gerne mit „CIA“ abgekürzt) von Informationen. Andere wünschenswerte Eigenschaften, deren Aufrechterhaltung nach ISO/IEC 27000 ebenfalls Gegenstand der Informationssicherheit sein können, sind Authentizität, Zurechenbarkeit, Nichtabstreitbarkeit und Verlässlichkeit (engl. Authenticity, Accountability, Nonrepudiation and Reliability). Diese Schutzziele, auf denen der Informationssicherheitsbegriff der Standardfamilie ISO/IEC 27000 basiert, werden im Folgenden erläutert.

Zur Beschreibung von Angriffsszenarien und Sicherheitsmaßnahmen werden oft fiktive Personen verwendet. Diese Personen haben definierte Rollen und Namen. Die „Guten“ heißen immer Alice und Bob und versuchen in der Regel, miteinander zu kommunizieren. Der „Böse” (engl. malicious) heißt Mallet; er versucht, Alice, Bob oder deren Interaktionen oder Kommunikation anzugreifen, abzuhören oder zu stören. Im Folgenden werden Alice, Bob und Mallet in diesem Sinn verwendet, um die Verletzung von Schutzzielen zu verdeutlichen.

1.2.3.1Vertraulichkeit (Confidentiality)

Abbildung 1.1Verletzung der Vertraulichkeit durch Abhören

Die Vertraulichkeit bezeichnet die Eigenschaft, dass eine Information für unautorisierte Personen, Entitäten oder Prozesse nicht zugänglich ist und von diesen auch nicht offengelegt werden kann. Die Vertraulichkeit ist beispielsweise verletzt, wenn ein Angreifer eine Kommunikation abhören kann (vgl. Abbildung 1.1).

1.2.3.2Integrität (Integrity)

Abbildung 1.2Verletzung der Integrität

Mit Integrität wird die Eigenschaft bezeichnet, dass Werte im Hinblick auf ihre Richtigkeit und Vollständigkeit geschützt werden. Eine Integritätsprüfung einer digitalen Information oder Nachricht erkennt jede unautorisierte Veränderung. Hierunter fallen alle denkbaren Manipulationen wie das Einfügen oder Löschen von Zeichen, das Wiedereinspielen einer alten Nachricht, das Umordnen von Daten sowie Duplikate.

Abbildung 1.2 stellt einen Angriff auf die Integrität der Kommunikation zwischen Alice und Bob dar. Mallet verändert die Nachricht, die Alice an Bob schickt.

1.2.3.3Verfügbarkeit (Availability)

Abbildung 1.3Verletzung der Verfügbarkeit durch DDoS-Angriff

Die Verfügbarkeit bezeichnet die Eigenschaft einer Information oder eines Wertes, für einen berechtigten Nutzer verfügbar und nutzbar zu sein, sobald der Nutzer dies verlangt. Die Verfügbarkeit wird z.B. durch Elementarschäden oder Katastrophen bedroht. Die prominentesten Angriffe auf die Verfügbarkeit von Diensten oder Ressourcen sind wie in Abbildung 1.3 dargestellt Denial-of-Service-(DoS-) oder Distributed-Denial-of-Service-(DDoS-)Angriffe, bei denen beispielsweise Webserver mit Datenmüll überflutet werden, wodurch sie für legitime Nutzer nicht mehr verfügbar sind.

Abbildung 1.4Verletzung der Authentizität durch einen Man-in-the-Middle-Angriff

1.2.3.4Authentizität (Authenticity) und Authentisierung (Authentication)

Der Vorgang der zweifelsfreien Ermittlung und Prüfung einer Entität bzw. einer geforderten Charakteristik einer Entität wird als Authentisierung bezeichnet. Dementsprechend bezeichnet Authentizität die Eigenschaft einer Entität, das zu sein, was sie vorgibt zu sein. In der Benutzerverwaltung wird über verschiedenste Mechanismen ein Nutzer zweifelsfrei mit einer digitalen Identität (z.B. einer eindeutigen Benutzerkennung oder Kontonummer) verbunden. Bei der Authentisierung wird diese Verbindung zwischen digitaler Identität und Nutzer geprüft (z.B. durch Eingabe eines Passworts, das nur der Nutzer kennt). Nach dieser Prüfung kann man davon ausgehen, dass die digitale Identität authentisch ist. In Abbildung 1.4 wird ein sogenannter Man-in-the-Middle-Angriff dargestellt. Mallet unterbricht die Kommunikationsbeziehung zwischen Alice und Bob und gibt sich gegenüber Bob als Alice und gegenüber Alice als Bob aus. Er fälscht gewissermaßen seine Identität. Damit ist die Authentizität nicht mehr gewährleistet. Steht Alice und Bob nur der verwendete Kommunikationskanal zur Verfügung, so ist dieser Angriff nur sehr schwer zu erkennen.

1.2.3.5Nichtabstreitbarkeit/Verbindlichkeit (Non-Repudiation)

Unter Verbindlichkeit bzw. Nichtabstreitbarkeit versteht man, dass der Eintritt eines Ereignisses oder einer Aktion sowie die verursachende Entität zweifelsfrei belegt werden können. Beispielsweise kann ein Nutzer das Auslösen einer Aktion, z.B. eine kostenpflichtige Bestellung, bei gegebener Nichtabstreitbarkeit später nicht erfolgreich leugnen.

1.2.3.6Verlässlichkeit (Reliability)

Die Eigenschaft, ein konsistentes und bestimmungsgemäßes Verhalten zu zeigen und konsistente Ergebnisse zu liefern, wird als Verlässlichkeit bezeichnet. Beispielsweise würde eine Verschlüsselungssoftware für E-Mails, die jede dritte Nachricht unverschlüsselt überträgt, die Sicherheitsanforderung nach Verlässlichkeit nicht erfüllen.

1.2.3.7Zurechenbarkeit (Accountability)

Die Zurechenbarkeit realisiert die Verantwortlichkeit einer Entität für ihre Aktionen und Entscheidungen. So müssen z. B. sicherheitsrelevante Aktionen demjenigen, der die entsprechende Aktion ausgeführt hat, zurechenbar sein. Die Zuweisung von Verantwortlichkeiten und die Übernahme von Verantwortung für Assets sind Grundsätze des Standards (vgl. Kapitel 3.1.4), die sich aber nur umsetzen lassen, wenn es Mechanismen gibt, um eine Zurechenbarkeit technisch umzusetzen.

1.2.3.8Zugangs- und Zugriffssteuerung (Access Control)

Als letzten Begriff betrachten wir in diesem Abschnitt noch die Zugriffssteuerung. Dabei handelt es sich zwar nicht um ein Schutzziel, aber um einen sehr grundlegenden Sicherheitsmechanismus, der in verschiedensten Maßnahmen der ISO/IEC 27001 zum Einsatz kommt. Die Zugriffssteuerung stellt sicher, dass der Zugang zu Daten und Werten (Assets) nur autorisiert erfolgen kann und Einschränkungen auf Basis von Geschäfts- oder Sicherheitsanforderungen möglich sind. Die Zugriffssteuerung setzt also ein Berechtigungskonzept technisch um; nur autorisierte Personen dürfen auf IT-Systeme und Informationen zugreifen. Bei physischem Zugang, z. B. dem Betreten gesicherter Gebäudebereiche, wird der Begriff Zutritt bzw. Zutrittskontrolle verwendet.

1.3IT-Sicherheitsgesetz & KRITIS

2015 hatte der Deutsche Bundestag das IT-Sicherheitsgesetz (IT-SiG) beschlossen, das in erster Linie Änderungen an bestehenden Gesetzen, darunter dem BSI-Gesetz (BSIG), umfasste. 2021 ist eine überarbeitete Fassung (IT-SiG 2.0) in Kraft getreten. Im Kern bedeuteten diese Änderungen die Abkehr vom Prinzip der Freiwilligkeit für den Bereich sogenannter kritischer Infrastrukturen. Dabei handelt es sich gemäß der Definition aus der KRITIS-Strategie des Bundes um Organisationen oder Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten können.

Betreiber solcher kritischer Infrastrukturen werden nach dem Gesetz verpflichtet, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten und Prozesse zu treffen. Den Nachweis darüber haben die Betreiber durch Sicherheitsaudits, Prüfungen und/oder Zertifizierungen zu erbringen, indem sie dem Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Aufstellung der durchgeführten Audits oder Zertifizierungen übermitteln. Darüber hinaus müssen Betreiber kritischer Infrastrukturen erhebliche IT-Sicherheitsvorfälle melden. Das BSI agiert als Zentralstelle für IT-Sicherheit und wertet Meldungen der Betreiber kritischer Infrastrukturen aus.

1.3.1Was ist „KRITIS“?

Unter dem Schlagwort KRITIS (kritische Infrastrukturen) versteht man übergreifend die Anforderungen, die sich aus dem IT-Sicherheitsgesetz und der Verordnung zur Bestimmung kritischer Infrastrukturen nach dem BSI-Gesetz (BSI-Kritisverordnung) für Betreiber kritischer Infrastrukturen ergeben. Dabei beschränkt sich KRITIS derzeit auf die folgenden sieben Sektoren bzw. Branchen:

       Energie

       Wasser

       Ernährung

       Informationstechnik und Telekommunikation

       Gesundheit

       Finanz- und Versicherungswesen

       Transport und Verkehr

1.3.2Wer ist in Deutschland von KRITIS betroffen?

Während die eigentlichen Gesetzestexte offenlassen, welche Organisationen oder Unternehmen tatsächlich vom IT-Sicherheitsgesetz betroffen sind und somit die KRITIS-Anforderungen erfüllen müssen, wird die BSI-Kritisverordnung konkreter. Sie definiert nämlich spezifische Anlagenkategorien, Bemessungskriterien und Schwellenwerte, aus denen jede Organisation oder Einrichtung aus einer der sieben genannten Branchen ableiten kann, ob sie als Betreiber einer kritischen Infrastruktur gilt oder nicht.

Die BSI-Kritisverordnung ist unter https://www.gesetze-im-internet.de/bsi-kritisv frei zugänglich. Sie ist wie folgt aufgebaut:

       § 1 enthält die für diese Verordnung relevanten Begriffsbestimmungen.

       In § 2 bis § 8 findet man zu jedem der sieben relevanten Sektoren eine genauere Beschreibung der relevanten kritischen Dienstleistungen.

       In § 9 wird festgelegt, dass die Verordnung und die enthaltenen Festlegungen (zu den kritischen Dienstleistungen, Anlagenkategorien und Schwellenwerten) alle zwei Jahre erneut evaluiert werden sollen.

       Zuletzt folgen die Anhänge 1 bis 7, die wiederum zu jedem der sieben relevanten Sektoren und den zuvor beschriebenen kritischen Dienstleistungen die Anlagenkategorien, Bemessungskriterien und Schwellenwerte tabellarisch auflisten.

Beispiel 1: Im Sektor Wasser ist eine kritische Dienstleistung die Versorgung der Allgemeinheit mit Trinkwasser. Diese umfasst gemäß § 3 der BSI-Kritisverordnung die Gewinnung, Aufbereitung, Verteilung sowie Steuerung und Überwachung von Trinkwasser. Gemäß Anhang 2 sind relevante Anlagenkategorien unter anderem Gewinnungsanlagen, Aufbereitungsanlagen, Leitzentralen sowie das Wasserverteilungssystem (z.B. Rohrnetz mit Druckregulierstationen). Für die Anlagenkategorie der Gewinnungsanlagen ist das relevante Bemessungskriterium die gewonnene Wassermenge in Millionen Kubikmeter pro Jahr, und der Schwellenwert wurde hierfür mit 22 festgelegt. Gewinnt ein Wasserversorger (z.B. Stadtwerk, Wasserwerk) also mehr als diese 22 Millionen Kubikmeter Trinkwasser pro Jahr in eigenen oder zumindest durch ihn verantworteten Anlagen, so gilt er als Betreiber einer kritischen Infrastruktur.

Beispiel 2: Im Sektor Transport und Verkehr ist eine kritische Dienstleistung die Versorgung der Allgemeinheit mit Leistungen zum Transport von Personen und Gütern. Diese umfasst gemäß § 8 der BSI-Kritisverordnung den Luftverkehr, Schienenverkehr, die Binnen- und Seeschifffahrt, den Straßenverkehr, öffentlichen Personennahverkehr (ÖPNV) sowie die Logistik. Gemäß Anhang 7 ist eine relevante Anlagenkategorie beispielsweise ein System zur Passagierabfertigung an Flugplätzen. Das relevante Bemessungskriterium ist die Anzahl der Passagiere pro Jahr, und der Schwellenwert wurde hierfür mit 20 Millionen festgelegt. Werden also an einem Flughafen mehr als 20 Millionen Fluggäste pro Jahr abgefertigt, so gilt der Betreiber als Betreiber einer kritischen Infrastruktur.

1.3.3KRITIS-Anforderungen – Informationssicherheit nach dem „Stand der Technik“

Nachdem nun also seit Inkrafttreten der BSI-Kritisverordnung klar sein sollte, wer genau vom IT-Sicherheitsgesetz betroffen ist und die KRITIS-Anforderungen erfüllen muss, bleibt noch die Frage: Was genau müssen Betreiber kritischer Infrastrukturen tun, und worüber müssen sie Nachweise erbringen? Diewesentliche Anforderung besteht darin, dass die Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität nach dem „Stand der Technik“ aufrechterhalten werden müssen. Der Stand der Technik ist ein Rechtsbegriff, der in verschiedenen Rechtsgebieten Verwendung findet und höhere Ansprüche stellt als etwa die anerkannten Regeln der Technik. Übertroffen wird er noch vom Stand von Wissenschaft und Technik.

Unter dem Stand der Technik werden die technischen Möglichkeiten verstanden, die zum gegenwärtigen Zeitpunkt den gewünschten Effekt gewährleisten können und sich dabei auf wissenschaftliche und technische Erkenntnisse stützen. Die Erfüllung anerkannter Standards, die etwa von Standardisierungsgremien oder Branchenverbänden herausgegeben werden, kann juristisch gesehen die begründete Vermutung nahelegen, dass in dem jeweiligen Gebiet der Stand der Technik erreicht wurde. Im Zusammenhang mit der Informationssicherheit bzw. dem Management der Informationssicherheit gilt dies entsprechend auch für die Etablierung eines Informationssicherheitsmanagementsystems (ISMS) auf Basis der Standardfamilie ISO/IEC 27000.

Das BSI weist allerdings in seinen KRITIS-Orientierungshilfen darauf hin, dass eine Zertifizierung nach ISO/IEC 27001 allein noch nicht automatisch ausreichend ist, um den Anforderungen des IT-Sicherheitsgesetzes vollständig zu genügen. Das liegt beispielsweise daran, dass auch in einem nach ISO/IEC 27001 zertifizierten ISMS Akzeptanzschwellen für Informationssicherheitsrisiken vom Betreiber festgelegt werden könnten, die die Akzeptanz erheblicher Risiken für die Versorgungssicherheit erlauben würden – was der Zielsetzung von KRITIS widerspricht. Aus diesem Grund können sowohl Betreiber kritischer Infrastrukturen als auch ihre Branchenverbände eigene bzw. branchenspezifische Informationssicherheitsstandards (B3 S) festlegen und ihre Eignung vom BSI feststellen lassen. Das BSI führt auf seinen Webseiten eine Übersicht über die B3 S, deren Eignung festgestellt wurde und die daher zur Nachweisführung über den Stand der Technik herangezogen werden können. Praktisch alle bisher eignungsgeprüften B3 S basieren in der einen oder anderen Form auf Inhalten und Anforderungen aus der Standardfamilie ISO/IEC 27000. So wurde beispielsweise von der Deutschen Krankenhausgesellschaft (DKG e. V.) im Jahr 2019 die Version 1.1 des branchenspezifischen Sicherheitsstandards für die Gesundheitsversorgung im Krankenhaus herausgegeben[Deu19]; auch dieser orientiert sich in seinen empfohlenen Umsetzungsschritten eng an ISO/IEC 27001.

1.4Datenschutz-Grundverordnung

Die Europäische Union hat mit der Datenschutz-Grundverordnung (DSGVO) [DSG16] im Jahr 2018 das Datenschutzrecht EU-weit und für den Europäischen Wirtschaftsraum vereinheitlicht. Nationale und föderale Gesetze, wie z. B. das Bundesdatenschutzgesetz oder die Landesdatenschutzgesetze, sind weiterhin möglich, müssen aber mit der DSGVO vereinbar sein.

Die DSGVO übernimmt viele Prinzipien aus der Vorgängerrichtlinie (95/46) und dem ehemaligen deutschen Bundesdatenschutzgesetz. Der zentrale Begriff der Personenbezogenen Daten in Art. 4 ist sehr weitgefasst: „personenbezogene Daten“[sind] alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person [...] beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.

Neu in der DSGVO sind die in Art. 5 aufgeführten Grundsätze für die Verarbeitung personenbezogener Daten:

a)      Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz

b)      Zweckbindung (Verarbeitung nur für definierte, eindeutige und legitime Zwecke)

c)      Datenminimierung („dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung [...] notwendige Maß beschränkt“)

d)      Richtigkeit („sachlich richtig und erforderlichenfalls auf dem neuesten Stand [...]; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung [...] unrichtig sind, unverzüglich gelöscht oder berichtigt werden“)

e)      Speicherbegrenzung („nur so lange [...], wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“)

f)      Integrität und Vertraulichkeit („in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen“)

Art. 32 der DSGVO fordert explizit die Berücksichtigung des Stands der Technik. Technische und organisatorische Maßnahmen zum Schutz von Daten sind ein Hauptaspekt der ISO/IEC 27001. Ein Nachweis des Stands der Technik kann z. B. durch eine Organisationszertifizierung nach ISO/IEC 27001 erfolgen. Eine weitere Neuerung der DSGVO ist die in Art. 35 eingeführte Datenschutz-Folgenabschätzung. Falls eine Verarbeitung personenbezogener Daten „aufgrund des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge“hat, so ist eine Datenschutz-Folgenabschätzung durchzuführen. Dabei handelt es sich um einen klassischen Risikomanagementprozess, wie er ab Abschnitt 4.6.1 erläutert wird.

Die Grundlagen, Prinzipien und Prozesse der ISO/IEC 27001 lassen sich somit gewinnbringend auch bei der Umsetzung der Datenschutz-Grundverordnung nutzen.

1.5Überblick über die folgenden Kapitel

In Kapitel 2 wird ein grundlegender Überblick über die Standardfamilie ISO/IEC 27000 und ihre Struktur gegeben, bevor im darauffolgenden Kapitel die Grundlagen eines Informationssicherheitsmanagementsystems dargestellt werden. Der Standard ISO/IEC 27001 wird in den Kapiteln 4 und 5 ausführlich erläutert und kommentiert. Die Mindestanforderungen, d. h. die Abschnitte 1 bis 10 des Standards, finden sich in den Kapiteln 4.1 bis 4.10. Der Anhang A von ISO/IEC 27001, der umzusetzende Maßnahmen auflistet, wird in Kapitel 5 ausführlich erklärt. Die danach folgenden Kapitel erläutern verwandte Standards und Rahmenwerke sowie die verschiedenen Zertifizierungsmöglichkeiten nach ISO/IEC 27001. Im Anhang des Buches finden Sie 40 Prüfungsfragen mit entsprechenden Musterlösungen, die vom Schwierigkeitsgrad her der ISO/IEC 27001 Foundation-Prüfung entsprechen.

1.6Beispiele für Prüfungsfragen zu diesem Kapitel

Nachfolgend finden Sie Beispiele für Prüfungsfragen, die sich thematisch mit den in diesem Kapitel erlernten Inhalten auseinandersetzen. Die richtigen Antworten inklusive Erläuterungen und Verweisen befinden sich in Anhang C.1 ab Seite 237.

Prüfungsfrage 1.1:

Was versteht ISO/IEC 27000 unter dem Begriff Vertraulichkeit (engl. Confidentiality)?

A)     Den Abschluss einer Vertraulichkeitsvereinbarung (Non-disclosure agreement).

B)     Die Geheimhaltungsverpflichtung aller Mitarbeiter, die Zugriff auf das ISMS haben.

C)     Die Vertraulichkeit schützt die Werte im Hinblick auf ihre Richtigkeit und Vollständigkeit.

D)     Eine Information ist für unautorisierte Personen, Entitäten oder Prozesse nicht zugänglich.

Prüfungsfrage 1.2:

Was versteht ISO/IEC 27000 unter dem Begriff Verfügbarkeit (engl. Availability)?

A)     Die Eigenschaft einer Information oder eines Wertes, für eine berechtigte Person oder Entität zugreifbar und nutzbar zu sein.

B)     Die Eigenschaft einer informationsverarbeitenden Einrichtung, genügend Ressourcen für eine Aufgabe zur Verfügung zu haben.

C)     Die Eigenschaft einer Information oder eines Wertes, vor Manipulation geschützt zu sein.

D)     Die Eigenschaft einer Information oder eines Wertes, vor Offenlegung geschützt zu sein.

Prüfungsfrage 1.3:

Was versteht ISO/IEC 27000 unter dem Begriff Nichtabstreitbarkeit (engl. Non-Repudiation)?

A)     Die verbindliche Regelung interner Sicherheitsaudits.

B)     Nichtabstreitbarkeit bezeichnet die Eigenschaft eines Wertes, für einen berechtigten Nutzer verfügbar und nutzbar zu sein.

C)     Als Nichtabstreitbarkeit bezeichnet man den Vorgang, mit dem der Eintritt eines geforderten Ereignisses oder einer Aktion zweifelsfrei einem Verursacher zugerechnet werden kann. Dieser kann den Vorgang nicht leugnen.

D)     Die Eigenschaft, ein konsistentes und bestimmungsgemäßes Verhalten zu zeigen und konsistente Ergebnisse zu liefern.

2Die Standardfamilie ISO/IEC 27000 im Überblick

Im ersten Kapitel wurde dargestellt, welche Teilaspekte zum Themengebiet der Informationssicherheit gehören. In diesem Kapitel betrachten wir nun zunächst, welche Ziele mit Normierung und Standardisierung grundsätzlich verfolgt werden. Dieses Basiswissen ist hilfreich, um Ziele, Inhalte und Aufbau des Standards ISO/IEC 27001 zu verstehen. Danach werden einige Grundlagen wie die Unterschiede zwischen normativen und informativen Standards erläutert und etwas näher auf die einzelnen Dokumente der Standardfamilie (oder Standardreihe) ISO/IEC 27000 und ihre Zusammenhänge eingegangen. Die Inhalte von ISO/IEC 27001 vertiefen wir in den nächsten Kapiteln1.

2.1Warum Standardisierung?

Allgemein betrachtet versteht man unter Standardisierung Vereinheitlichung und Harmonisierung. Bestimmte, als erwünscht oder essenziell erachtete Merkmale werden zu einer Norm bzw. einem Standard erhoben. Wie bereits in der Einleitung angedeutet, ist es oft notwendig, auch Fachbegriffe im Rahmen der Standardisierung zu vereinheitlichen, damit alle beteiligten Personen dasselbe darunter verstehen. Standardisierung begegnet einem in vielen Bereichen, beispielsweise:

       Standardisierung von gemeinsamen Messverfahren, die Definition von Maßen für Temperatur, Gewicht und Geschwindigkeit und insbesondere auch die Verwendung einer gemeinsamen Uhrzeit oder Sprache.

       Standardisierung von Produkten, also beispielsweise die Vereinheitlichung von Größen, Abmessungen oder Formen. Zu nennen sind hier etwa einheitliche Papierformate wie DIN A4 oder die Größe und Form eines Steckers.

       Standardisierung von Kommunikationsprotokollen, welche die Kodierung, Dekodierung und Interpretation von Steuersignalen, die für eine Kommunikation notwendig sind, vereinheitlichen und somit eine herstellerunabhängige Kommunikation ermöglichen.

Nennenswerte Beispiele sind das Hypertext Transfer Protocol HTTP oder H.323 und SIP, welches das Telefonieren über das Internet-Protokoll (Voice over IP; VoIP) beschreibt.

Es gibt aber auch Standards für Managementsysteme. Diese versuchen, einheitliche Vorgaben dazu festzulegen, wie Organisationen bestimmte Aspekte ihres Managements gestalten. Sie definieren also beispielsweise, welche Prozesse, Verfahren und grundlegenden Managementwerkzeuge von der Organisation eingesetzt werden sollten, um bestimmte Ziele zu erreichen. Die entsprechenden Standards – prominentestes Beispiel ist wohl die ISO 9000 – formulieren meist konkrete Anforderungen, die eine Organisation erfüllen muss, um etwas, das sie erreichen will (z.B. Qualitätssicherung), auch wirksam managen zu können.

2.2Grundlagen der ISO/IEC 27000

Wenn von „ISO/IEC 27000“ die Rede ist, kann damit Folgendes gemeint sein:

1.      die gesamte ISO/IEC 27000-Standardfamilie, die aus mehreren verschiedenen Dokumenten besteht, von denen die wichtigsten nachfolgend vorgestellt werden;

2.      das Dokument ISO/IEC 27000:20202Information technology – Security techniques – Information security management systems – Overview and vocabulary.

ISO/IEC 27000 kann sich also sowohl auf die Standardfamilie als Ganzes als auch auf das erste Dokument innerhalb dieser Reihe von Standards beziehen. Meistens ist jedoch die erste dieser Bedeutungen gemeint. Alle Dokumente der ISO/IEC 27000-Standardfamilie haben miteinander gemeinsam, dass sie sich mit dem Management der Informationssicherheit beschäftigen und zu diesem Zweck Hilfestellung beim Aufbau eines entsprechenden Managementsystems – eines sogenannten Informationssicherheitsmanagementsystems (ISMS) – liefern. Dazu mehr in Kapitel 3.

2.3Normative vs. informative Standards

Man unterscheidet bei Standards zwischen denen, die verbindliche Anforderungen enthalten, und denen, die nur empfehlenden Charakter haben. Erstere – bei ISO/IEC-Standards leicht zu erkennen an der häufigen Verwendung des Wortes „muss“ (im Englischen „shall“) im Text – nennt man häufig auch normativ; letztere – geprägt durch Formulierungen mit „sollte“ (im Englischen „should“) – werden oft als informativ bezeichnet.

Zusammenfassend:

       Ein normativer Standard enthält Vorgaben und Anforderungen („normative Elemente“), die verbindlich umzusetzen sind.

       Ein informativer Standard stellt im Gegensatz dazu einen Leitfaden dar, der nur empfehlenden Charakter hat.

Ein normativer Standard wird oftmals durch einen oder mehrere informative Standards ergänzt. Diese geben dann meist Empfehlungen zur Umsetzung der, in aller Regel äußerst kurz und prägnant gehaltenen, Anforderungen aus dem normativen Standard. In der ISO/IEC 27000-Standardfamilie ist beispielsweise ISO/IEC 27001 der zentrale normative Standard, d. h., enthält verbindliche Anforderungen. ISO/IEC 27002 hingegen ist ein informativer Standard, der Erläuterungen und Vorschläge zur Umsetzung für einen Teil von ISO/IEC 27001 (Anhang A) bietet.

2.4Die Standards der ISMS-Familie und ihre Zusammenhänge

Abbildung 2.1Die Familie der ISMS-Standards (ISO/IEC 27000-Reihe)

Zur ISO/IEC 27000-Standardfamilie gehören mittlerweile über 30 Dokumente, von denen im Folgenden nur die wichtigsten vorgestellt werden.

Abbildung 2.1 stellt eine Auswahl der ISO/IEC 27000-Dokumente dar und illustriert ihre Zusammenhänge und Abhängigkeiten. Dabei wird zwischen verschiedenen Ebenen bzw. Bereichen unterschieden, denen sich diese Dokumente zuordnen lassen: ISO/IEC 27000 (das Dokument) befasst sich mit Begriffen und Grundlagen, die für die gesamte Standardfamilie gelten. ISO/IEC 27001 gehört zu den normativen Standards bzw. Anforderungsstandards, die konkrete Anforderungen enthalten. Die allgemeinen Leitfäden, allen voran ISO/IEC 27002, bieten Empfehlungen für die Umsetzung der Kerninhalte von ISO/IEC 27001. Zusätzlich existieren zahlreiche spezifische Leitfäden, die sich mit Umsetzung der ISO/IEC 27001 in ausgewählten Branchen oder der Ausgestaltung bestimmter Maßnahmen befassen.

2.4.1ISO/IEC 27000: Grundlagen und Überblick über die Standardfamilie

ISO/IEC 27000:2018 [ISO18b] liegt in englischer Sprache als veröffentlichter Standard, die deutsche Übersetzung hat aktuell den Stand Juni 2020. Das Dokument ISO/IEC 27000 trägt den Titel „Overview and vocabulary“ (Überblick und Terminologie) und liefert Definitionen zu 77 ISMS-Begriffen (vgl. Anhang A dieses Buches), eine allgemeine Einführung zu Managementsystemen für Informationssicherheit, zentralen ISMS-Prinzipien und Konzepten sowie schließlich einen Überblick über die ISO/IEC 27000-Standardfamilie. Damit bildet ISO/IEC 27000 ein gutes Fundament, auf dem die anderen Teile der Standardfamilie aufbauen können.

2.4.2Normative Anforderungen

Es gibt innerhalb der ISO/IEC 27000-Familie drei Standards, welche normativen Charakter haben: ISO/IEC 27001, ISO/IEC 27006 und ISO/IEC 27009.

2.4.2.1ISO/IEC 27001: Anforderungen an ein ISMS

ISO/IEC 27001:2013 [ISO13] ist der Standard, der für Organisationen, die eine Zertifizierung anstreben, unmittelbare Relevanz hat. Das heißt: Bei einem Zertifizierungsaudit wird die Konformität zu ISO/IEC 27001 bewertet. Damit ist ISO/IEC 27001 innerhalb der ISO/IEC 27000-Standardfamilie der zentrale Standard. Er behandelt vor allem die allgemeinen Anforderungen an ein ISMS (Normabschnitte 4 bis 10) sowie Maßnahmen im Informationssicherheitsmanagement (Anhang A).

Mit DIN ISO/IEC 27001:2017-06 existiert auch eine von der DIN herausgegebene Fassung der ISO/IEC 27001 [DIN17], die auf der englischen Ausgabe des Standards von 2013 basiert. Wobei für die deutsche Fassung noch zwei kleine, 2014 und 2015 herausgegebene Korrekturen (Corrigendum) berücksichtigt wurden. Diese Fassung ist im Anhang B dieses Buches als Faksimile enthalten. Mit der Neufassung der ISO/IEC 27002 im Jahr 2022 werden sich auch Änderungen an ISO/IEC 27001, vor allem in Anhang A, ergeben.

ISO/IEC 27001 ist das zentrale Thema dieses Buches und auch der Schwerpunkt der Prüfungen zur Erlangung des Foundation Certificate in ISMS according to ISO/IEC 27001, der Einstiegszertifizierung im Rahmen des Qualifizierungs- und Zertifizierungsprogramme für Personen zur ISO/IEC 27000-Standardfamilie (vgl. Kapitel 7.2).

2.4.2.2ISO/IEC 27006: Anforderungen an Zertifizierer

ISO/IEC 27006 (Requirements for bodies providing audit and certification of information security management systems) [ISO15a] legt die Anforderungen fest, deren Erfüllung bei der Akkreditierung (vgl. Kapitel 7.1.1.2) einer Zertifizierungsstelle zu überprüfen ist, wenn diese Zertifizierungsstelle das Ziel hat, auch ISMS nach ISO/IEC 27001 zu auditieren und zertifizieren.

ISO/IEC 27006 ergänzt und konkretisiert die in ISO/IEC 17021 festgelegten Anforderungen für Zertifizierungsstellen um Aspekte, die spezifisch für die Auditierung und Zertifizierung von ISMS sind.

2.4.2.3ISO/IEC 27009: Anforderungen an die branchenspezifische Anwendung von ISO/IEC 27001

Neben ISO/IEC 27001 und ISO/IEC 27006 gibt es mit ISO/IEC 27009 (Sector-specific application of ISO/IEC 27001) [ISO20b]