Nach dem Lesen können Sie die Erklärung aus der Risikobehandlung aufbauen und Begründungen schreiben, die im Audit standhalten.
Definition
Abschnitt 6.1.3 d legt ihren Inhalt fest: die erforderlichen Maßnahmen, den Grund für ihre Aufnahme, ob sie umgesetzt sind, und den Grund für den Ausschluss jeder Maßnahme aus Anhang A.
Die Risikobehandlung entscheidet, welche Maßnahmen erforderlich sind. Sie können aus Anhang A, aus einem anderen Rahmenwerk oder aus eigener Gestaltung stammen.
Warum es wichtig ist
Sie verbindet die Risiken mit den Maßnahmen und zeigt, welche Maßnahmen das zertifizierte System anwendet. Einkäufer verlangen oft eine Kopie, und Auditoren entscheiden mit ihr, was sie testen.
Wie es funktioniert
Gehen Sie vom Risikobehandlungsplan aus und listen Sie die gewählten Maßnahmen auf. Gehen Sie dann die 93 Maßnahmen aus Anhang A durch, um sicherzustellen, dass nichts Erforderliches fehlt.
Schreiben Sie für jede Maßnahme den Grund für Aufnahme oder Ausschluss, ihren Umsetzungsstand und einen Verweis auf das Dokument oder die Aufzeichnung, die ihn belegt.
Lassen Sie sie genehmigen, führen Sie sie unter Versionskontrolle und aktualisieren Sie sie, wenn sich Risiken oder Maßnahmen ändern.
Ein Praxisbeispiel
Maßnahme 7.10, Speichermedien. Ein Unternehmen ohne Wechseldatenträger im Anwendungsbereich schließt sie aus und erklärt, dass alle Daten auf seiner Cloud-Plattform bleiben und die Geräterichtlinie USB-Anschlüsse sperrt.
Maßnahme 8.13, Datensicherung. Sie wird aufgenommen, um das Risiko des Datenverlusts zu behandeln, und ist umgesetzt, mit Verweis auf das Sicherungsverfahren und den Wiederherstellungstest vom 12. Mai.
Bewährte Praktiken
- Führen Sie jede Maßnahme auf ein Risiko oder eine Verpflichtung zurück.
- Verweisen Sie auf den Nachweis. Ihn hineinzukopieren macht das Dokument unlesbar und bald veraltet.
- Aktualisieren Sie die Erklärung nach jeder Risikoüberprüfung und prüfen Sie, auf welche Version sich das Zertifikat bezieht.
Häufige Fehler
- Eine Maßnahme auszuschließen, weil sie unbequem ist. Der Grund muss aus Ihren Risiken und Ihrem Anwendungsbereich kommen.
- Sie vor der Risikobeurteilung auszufüllen, was die Logik der Norm auf den Kopf stellt.
- Alles als umgesetzt zu markieren. Eine Stichprobe von drei Aufzeichnungen genügt, um das zu widerlegen.
- „Anwendbar“ als Begründung zu schreiben, was nichts erklärt.
Fragen
- Muss jede Maßnahme aus Anhang A aufgenommen werden?
- Nein, aber jede muss behandelt werden: aufgenommen mit Begründung oder ausgeschlossen mit Begründung.
- Ist die Erklärung zur Anwendbarkeit öffentlich?
- Das muss sie nicht sein. Unternehmen geben sie oft unter einer Vertraulichkeitsvereinbarung an Einkäufer weiter.
- Dürfen Maßnahmen außerhalb von Anhang A darin stehen?
- Ja. Abschnitt 6.1.3 erlaubt Maßnahmen aus jeder Quelle, und sie werden mit den anderen aufgeführt.
- Wer genehmigt die Erklärung zur Anwendbarkeit?
- Die Norm verlangt, dass die Erklärung erstellt wird, ohne einen Genehmigenden zu nennen. Die Genehmigung durch die Sicherheitsleitung und die Geschäftsleitung ist gängige Praxis.
- Worin unterscheidet sie sich vom Risikobehandlungsplan?
- Der Plan sagt, wie Risiken behandelt werden, von wem und bis wann. Die Erklärung gibt die Position zu jeder Maßnahme an.