Checkliste zur Vorbereitung auf ISO/IEC 27001

Auditoren erwarten eine Liste der interessierten Parteien (Kunden, Behörden, Lieferanten, Mitarbeitende) und welche ihrer Anforderungen, auch gesetzliche und vertragliche, das ISMS abdeckt.

Die Änderung 1 vom Februar 2024 ergänzt Abschnitt 4.1 um die Anforderung, zu bestimmen, ob der Klimawandel ein relevantes Thema ist, und Abschnitt 4.2 um die Anmerkung, dass relevante interessierte Parteien Anforderungen zum Klimawandel haben können. Auditoren prüfen, dass die Entscheidung getroffen und dokumentiert ist, auch wenn sie verneinend ausfällt.

Die Beschreibung nennt Standorte, Bereiche, Systeme und Dienste und begründet Ausschlüsse. Sie erscheint auf dem Zertifikat und muss daher präzise sein.

Die Politik muss Informationssicherheitsziele enthalten oder einen Rahmen dafür setzen, fortlaufende Verbesserung zusichern und intern bekannt gemacht werden. Auditoren befragen die oberste Leitung direkt.

Jemand muss für die Konformität des ISMS und die Berichterstattung über seine Leistung an die oberste Leitung verantwortlich sein, meist belegt durch eine RACI-Matrix oder Rollenbeschreibungen.

Wiederholte Beurteilungen müssen konsistente, gültige und vergleichbare Ergebnisse liefern. Die Ergebnisse sind als dokumentierte Information aufzubewahren.

Für jedes Risiko werden Behandlungsoptionen und erforderliche Maßnahmen gewählt und mit Anhang A abgeglichen, damit keine notwendige Maßnahme übersehen wird.

Für jede Maßnahme wird angegeben, ob sie enthalten ist, warum sie ein- oder ausgeschlossen wird und ob sie umgesetzt ist. Auditoren planen ihre Stichproben anhand dieser Erklärung.

Die Ziele müssen mit der Politik übereinstimmen, überwacht und aktualisiert werden, zum Beispiel Fristen für das Einspielen von Patches oder Schulungsquoten.

Mitarbeitende müssen die Politik, ihren Beitrag und die Folgen von Nichtkonformität kennen. Auditoren können dazu beliebige Beschäftigte befragen.

Dokumente müssen gekennzeichnet, geprüft und geschützt sein; auch relevante Dokumente externer Herkunft sind zu bestimmen und zu lenken.

Auditoren suchen Nachweise, dass geplante Änderungen und extern bereitgestellte Prozesse gesteuert werden und die Risikodokumentation aktuell ist, nicht einmalig erstellt.

Kennzahlen sollen in die Bewertung von Leistung und Wirksamkeit des ISMS einfließen, statt nur in einem Dashboard zu stehen.

Auditprogramm, Berichte und Feststellungen aufbewahren. Auditoren dürfen nicht ihre eigene Arbeit prüfen.

Eingaben sind u. a. Auditergebnisse, Nichtkonformitäten, Risikostatus, Ziele, Änderungen bei interessierten Parteien und Verbesserungsmöglichkeiten. Ergebnisse sind Entscheidungen und Maßnahmen.

Ein Protokoll der Korrekturmaßnahmen mit Abschlussnachweisen belegt die fortlaufende Verbesserung in der Praxis.

Neu in 2022 (A.5.7 Informationen über die Bedrohungslage). Nachweise sind abonnierte Quellen, CERT-Warnungen und daraus abgeleitete Maßnahmen.

Auditoren prüfen minimale Rechte, Ein-, Um- und Austritte sowie regelmäßige Rechteüberprüfungen (siehe auch A.5.16 bis A.5.18).

Umfasst geteilte Verantwortung, Sicherheitsanforderungen an Anbieter und eine Ausstiegsstrategie für jeden Cloud-Dienst im Anwendungsbereich.

Auditoren erwarten ein dokumentiertes Verfahren, definierte Rollen und Aufzeichnungen echter oder geübter Vorfälle. A.6.8 regelt die Meldung von Ereignissen durch Beschäftigte.

Wiederanlaufziele sollten aus einer Business-Impact-Analyse stammen, und Failover- oder Wiederherstellungstests müssen dokumentiert sein.

Teilnahmenachweise aufbewahren und Inhalte an Rollen anpassen. Sicherheitsüberprüfung (A.6.1) und Beschäftigungs- und Vertragsbedingungen (A.6.2) ergänzen die Nachweise zum Onboarding.

Üblich sind Alarmanlagen, Videoüberwachung oder Wachpersonal mit aufbewahrten Protokollen. Bei reinem Remote- oder Cloud-Betrieb ist zu dokumentieren, wie dies für Büros und Anbieter gilt.

Auditoren prüfen stichprobenartig Scanberichte und vergleichen Behebungsdaten mit den eigenen Fristen.

Neu in 2022. Übliche Nachweise sind Härtungsvorgaben, Infrastructure as Code und Erkennung von Abweichungen.

Neu in 2022. Ein DLP-Produkt ist nicht zwingend: Klassifizierung, Ausgangskontrollen und E-Mail- oder USB-Beschränkungen können risikobasiert ausreichen.

Auditoren fragen nach Umfang, Aufbewahrung, Schutz der Kopien und datierten Wiederherstellungstests.

Neu in 2022. Alarmregeln, Zuständigkeiten und Beispiele bearbeiteter Alarme vorlegen, aufbauend auf der Protokollierung (A.8.15).

Neu in 2022. Nachweise sind Programmierrichtlinien, Review-Aufzeichnungen und statische Analyse in der Pipeline (siehe auch A.8.25 bis A.8.29).