ISO 27001
Kurzdefinition
ISO 27001 ist ein internationaler Standard für Informationssicherheits-Managementsysteme, nach dem sich Organisationen von unabhängigen Stellen zertifizieren lassen können.
Erklärung
ISO 27001 legt Anforderungen an ein Managementsystem für Informationssicherheit fest. Es geht dabei nicht um ein einzelnes Produkt, sondern um die Organisation: Risiken werden bewertet, Maßnahmen ausgewählt, Verantwortliche benannt und der Prozess wird regelmäßig überprüft. Unternehmen können sich von akkreditierten Stellen zertifizieren lassen und erhalten ein Zertifikat, das einen bestimmten Geltungsbereich abdeckt. Genau dort liegt eine häufige Falle: Ein Zertifikat kann sich auf einen Standort, eine Abteilung oder bestimmte Dienste beziehen und nicht auf alles, was der Anbieter betreibt. Außerdem gilt es nur für einen begrenzten Zeitraum und wird in Überwachungsaudits geprüft. Ein Zertifikat ist ein Hinweis auf systematische Informationssicherheit, ersetzt aber keine Prüfung von Auftragsverarbeitung, Datenschutz und technischen Maßnahmen im Einzelfall.
Beispiel
Ein Unternehmen liest auf der Website eines Anbieters den Hinweis auf eine Zertifizierung. Es fragt nach dem Zertifikat, prüft Geltungsbereich und Gültigkeitsdauer und stellt fest, dass nur ein Teil der Dienste erfasst ist. Die Entscheidung stützt es deshalb zusätzlich auf Vertrag und technische Unterlagen.