ISO/IEC 27002
Titel:
ISO/IEC 27002 Sicherheitsverfahren – Leitfaden für das Informationssicherheits-Management
Herausgeber:
ISO
Veröffentlichung:
September 2008
Beschreibung:
Der Standard beschreibt Methoden und Verfahren zur Herstellung, Einführung, Betrieb, Überwachung, Wartung und Verbesserung eines dokumentierten Informationssicherheits-Managementsystems.
Die ISO/IEC 27002:2008 wurde aus dem britischen Standard BS 7799-1:1999 entwickelt.
Zu den beschriebenen Überwachungsbereichen gehört auch das Business Continuity Management (Abschnitt 14):
“In der gesamten Organisation sollte ein gelenkter Prozess zur Sicherstellung des Geschäftsbetriebs entwi-ckelt und aufrechterhalten werden, der die für die Sicherstellung des Geschäftsbetriebs (Business Continuity) erforderlichen Informationssicherheitsanforderungen in der Organisation behandelt.”
Wesentliche Elemente:
- Verstehen der Risiken, denen die Organisation ausgesetzt ist, und deren Wahrscheinlichkeit und zeitliche Auswirkung, sowie eine Identifikation und Feststellung der Prioritäten kritischer Geschäftsprozesse;
- Identifikation aller organisationseigenen Werte (Assets), die zu kritischen Geschäftsprozessen gehören;
- Verstehen der Auswirkungen, die Informationssicherheitsvorfälle wahrscheinlich auf das Geschäft haben werden (es ist wichtig, dass Lösungen gefunden werden, die kleinere Auswirkungen genauso behandeln wie größere, die die Existenz derOrganisation bedrohen könnten) und Festlegung der Organisationsziele für informationsverarbeitende Anlagen;
- Erwägung, eine geeignete Versicherung abzuschließen, die Teil des gesamten Prozesses zur Sicherstellung des Geschäftsbetriebs und auch Teil des betrieblichen Risikomanagements sein könnte;
- Identifikation von zusätzlichen vorbeugenden und Schadensmildernden Maßnahmen und Überlegungen zu deren Umsetzung;
- Identifikation von ausreichenden finanziellen, organisatorischen, technischen und umfeldbedingten Res-sourcen, um die identifizierten Informationssicherheitsanforderungen zu erfüllen;
- Garantie der Sicherheit von Personen und des Schutzes von informationsverarbeitenden Einrichtungen und Anlagewerten der Organisation;
- Formulierung und Dokumentation von Plänen zur Sicherstellung des Geschäftsbetriebs, die die Informa-tionssicherheitsanforderungen in Übereinstimmung mit der vereinbarten Strategie zur Sicherstellung des Geschäftsbetriebs behandeln;
- regelmäßige Tests und Aktualisierungen der etablierten Pläne und Prozesse;
- Sicherstellung, dass die Sicherstellung des Geschäftsbetriebs in die Prozesse und Strukturen der Orga-nisation integriert wird; die Verantwortung für die Koordination des Prozesses zur Sicherstellung des Ge-schäftsbetriebs sollte auf eine angemessene Ebene in der Organisation übertragen werden .
Zertifizierung:
Zertifizierung nach ISO/IEC 27001 möglich
Bezug: