Warum so viele Fragebögen wie ISO 27001 aussehen
ISO 27001 ist die am weitesten verbreitete Norm für Informationssicherheit, und ihr Anhang A ist eine Liste von Kontrollen, gruppiert nach Themen. Wenn das Sicherheitsteam eines Kunden einen Fragebogen schreibt, ist Anhang A die Checkliste, von der es ausgeht, selbst wenn der Fragebogen ISO nie erwähnt. Die Fragen kommen daher in einer erkennbaren Reihenfolge: Richtlinien und Organisation, Personen, Physisches, Technik.
Die Themen und was jedes abfragt
Organisatorische Kontrollen. Haben Sie eine Informationssicherheitsrichtlinie, wer verantwortet Sicherheit, wie sind Rollen definiert, wie steuern Sie Lieferanten, wie klassifizieren Sie Informationen, wie gehen Sie mit Vorfällen um, wie planen Sie die Kontinuität, welche gesetzlichen und vertraglichen Pflichten haben Sie. Das ist die größte Gruppe und die, in der schriftliche Richtlinien am meisten zählen.
Personenbezogene Kontrollen. Überprüfung vor der Einstellung, Arbeitsvertragsbedingungen, Schulungen zum Sicherheitsbewusstsein, Disziplinarverfahren, was beim Ausscheiden passiert, Vertraulichkeitsvereinbarungen, Regeln für mobiles Arbeiten.
Physische Kontrollen. Sicherheitsbereiche, Zutrittskontrollen, Schutz vor Umweltbedrohungen, Gerätesicherheit, aufgeräumter Schreibtisch und gesperrter Bildschirm, sichere Entsorgung. Für ein Cloud-Unternehmen beantwortet das meiste davon die Zertifizierung des Hosting-Anbieters, plus das, was Sie bei Laptops und Büros tun.
Technische Kontrollen. Endgeräte, privilegierter Zugriff, Zugriffsbeschränkung, Authentifizierung, Kapazitätsmanagement, Schutz vor Schadsoftware, Schwachstellenmanagement, Protokollierung und Überwachung, Backup, Redundanz, Netzwerksicherheit, Kryptografie, sichere Entwicklung, Änderungsmanagement, Testdaten, Code-Review.
Antworten mit Zertifikat
Sind Sie zertifiziert, beantworten das Zertifikat, sein Geltungsbereich und die Erklärung zur Anwendbarkeit einen großen Teil jedes ISO-geprägten Fragebogens. Legen Sie das Zertifikat bei, zitieren Sie den Geltungsbereich exakt (Prüfer kontrollieren, ob der Dienst, den sie kaufen, darin liegt), und antworten Sie je Thema aus der Erklärung zur Anwendbarkeit: welche Kontrollen gelten, wie sie umgesetzt sind und wer sie verantwortet. Rechnen Sie mit Fragen zum letzten Überwachungsaudit und zu etwaigen Abweichungen.
Antworten ohne Zertifikat
Sie können trotzdem jede Zeile beantworten. Sagen Sie zu jeder Kontrolle, ob Sie sie haben, wie sie umgesetzt ist, wer sie verantwortet und wo der Nachweis liegt; und bei denen, die Sie nicht haben, sagen Sie das und was Sie stattdessen tun oder wann sie geplant ist. Ein Lieferant mit klaren, ehrlichen Antworten und einem Plan besteht die Prüfung eines Kunden oft; ein Lieferant mit Zertifikat und vagen Antworten manchmal nicht.
Das Mapping aufbewahren, nicht die Fragebögen
Nach derselben Kontrolle aus Anhang A wird ab jetzt in jedem Fragebogen gefragt, nur mit anderen Worten. Halten Sie je Kontrolle eine freigegebene Antwort mit Nachweis und Datum bereit und entwerfen Sie jeden Fragebogen daraus. In Responsemate liegt diese Antwort einmal in der Wissensdatenbank, mit ihrer Datei und ihrem Ablaufdatum, und jeder Fragebogen wird daraus entworfen, mit der Quelle in jeder Zeile. Wissen in Responsemate.
Häufige Fragen
Brauchen wir eine ISO 27001-Zertifizierung, um einen ISO 27001-Fragebogen zu beantworten?
Nein. Der Fragebogen fragt, ob Sie die Kontrollen haben, nicht, ob ein Auditor sie geprüft hat. Mit Zertifikat können Sie viele Zeilen mit „zertifiziert, siehe Zertifikat und Erklärung zur Anwendbarkeit“ beantworten; ohne beantworten Sie jede Zeile für sich.
Was ist die Erklärung zur Anwendbarkeit?
Das Dokument in einem ISO 27001-System, das jede Kontrolle aus Anhang A auflistet und angibt, ob sie für Sie gilt und wie sie umgesetzt ist. Prüfer, die ISO kennen, fragen danach, weil es den Großteil ihres Fragebogens in einem Dokument beantwortet.