Was regelt ISO 27001?
Die Norm beschreibt ein Managementsystem für Informationssicherheit. Ein Unternehmen, das danach arbeitet,
- erkennt und bewertet Risiken für seine Informationen,
- legt Massnahmen fest, etwa für Zugriffe, Datensicherung und Notfälle,
- überprüft und verbessert diese Massnahmen regelmässig
- und lässt das System für die Zertifizierung von einer externen Stelle prüfen.
Was bedeuten Vertraulichkeit, Integrität und Verfügbarkeit?
Informationssicherheit schützt drei Eigenschaften von Informationen:
- Vertraulichkeit: Nur berechtigte Personen sehen die Daten.
- Integrität: Daten sind vollständig und werden nicht unbemerkt verändert.
- Verfügbarkeit: Systeme und Daten stehen zur Verfügung, wenn sie gebraucht werden.
Warum ist das für KMU wichtig?
Viele KMU geben Betrieb, Hosting oder Betreuung ihrer IT an einen Partner ab. Damit liegt ein Teil ihrer Daten und Zugänge in dessen Verantwortung. Ein Managementsystem nach ISO 27001 zeigt, dass dieser Partner Informationssicherheit systematisch umsetzt.
ISO 27001 und Datenschutz: Wo liegt der Unterschied?
Das Schweizer Datenschutzgesetz regelt, wie Personendaten bearbeitet werden dürfen. In der revidierten Fassung gilt es seit dem 1. September 2023. ISO 27001 ist dagegen ein freiwilliger Standard für den Schutz aller Informationen eines Unternehmens. Eine Zertifizierung ersetzt die Pflichten aus dem Datenschutz nicht, unterstützt sie aber: Wer Risiken, Zugriffe und Notfälle systematisch regelt, erfüllt einen wichtigen Teil der geforderten Datensicherheit.
Wie läuft eine Zertifizierung ab?
Eine akkreditierte Zertifizierungsstelle prüft das Managementsystem in einem Audit. Das Zertifikat gilt drei Jahre. In dieser Zeit finden jährliche Überwachungsaudits statt, danach folgt die Rezertifizierung. Die aktuelle Fassung der Norm ist ISO/IEC 27001:2022.
Welche Fragen sollten Sie einem IT-Partner stellen?
- Nach welchem Standard ist die Informationssicherheit aufgebaut?
- Wer hat Zugriff auf unsere Daten, und wie ist das geregelt?
- Wo werden unsere Daten gespeichert?
- Gibt es festgelegte Abläufe für den Ernstfall?
- Wird die Wiederherstellung von Backups regelmässig getestet?
Was können KMU selbst tun?
- Mehrstufige Anmeldung für E-Mail, Fernzugriff und wichtige Anwendungen einschalten.
- Updates für Geräte und Programme zeitnah installieren.
- Backups getrennt aufbewahren und die Wiederherstellung testen.
- Berechtigungen regelmässig prüfen, besonders bei Austritten.
- Mitarbeitende für Phishing und Betrugsversuche sensibilisieren.
- Festhalten, wer im Notfall was tut und wen informiert.
Was verlangt das Datenschutzgesetz bei einem Vorfall?
Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die betroffenen Personen, muss sie dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich gemeldet werden. Dafür braucht es Abläufe, die vorher feststehen: Wer erkennt den Vorfall, wer beurteilt ihn und wer meldet ihn? Genau solche Abläufe verlangt auch ISO 27001.
Wie erkennen Sie Angriffe rechtzeitig?
Viele Angriffe beginnen unauffällig, oft nachts oder am Wochenende. Ein Security Operations Center überwacht die angebundenen Systeme rund um die Uhr, ordnet Hinweise ein und informiert die vereinbarten Kontakte. Als Arctic Wolf Premium Partner bietet elvadata diese Überwachung an, abgestimmt auf Ihre IT. Mehr dazu auf der Seite Security.
Wie setzt elvadata das um?
Das Informationssicherheits-Managementsystem der ELVADATA AG ist nach den Massstäben von ISO 27001 aufgebaut. Zugriffe sind über klare Konzepte geregelt, Backups laufen nach einem gemeinsam festgelegten Rhythmus und die Wiederherstellung wird regelmässig getestet. Für Ihre Fragen steht CISO-Expertise zur Verfügung.
Wie wir Informationssicherheit selbst umsetzen, beschreibt der Beitrag ISO 27001: Informationssicherheit mit System. Für ein Gespräch über Ihre Ausgangslage erreichen Sie uns über Zusammenarbeit.