Risikobeurteilung nach ISO 27001

Definition

Abschnitt 6.1.2 verlangt Kriterien für die Risikoakzeptanz und Kriterien dafür, wie Beurteilungen durchgeführt werden. Die Ergebnisse müssen konsistent, gültig und vergleichbar sein, und betrachtet werden die Risiken für Vertraulichkeit, Integrität und Verfügbarkeit von Informationen im Anwendungsbereich des Managementsystems.

Die Norm schreibt keine Methode vor, und seit der Ausgabe 2013 muss man nicht mehr von einer Liste der Assets ausgehen. ISO/IEC 27005 gibt Hinweise, wie die Arbeit durchzuführen ist.

Warum es wichtig ist

Der Rest des Managementsystems hängt an dieser Arbeit. Die Auswahl der Maßnahmen aus Anhang A, die Erklärung zur Anwendbarkeit und der Behandlungsplan folgen alle aus ihren Ergebnissen, deshalb sehen Auditoren sie so früh an.

Wie es funktioniert

Lassen Sie zuerst die Kriterien festlegen und genehmigen. Identifizieren Sie im Anwendungsbereich die Risiken für Vertraulichkeit, Integrität und Verfügbarkeit und benennen Sie für jedes einen Eigentümer.

Beurteilen Sie die realistischen Folgen und die Wahrscheinlichkeit, ermitteln Sie das Risikoniveau, vergleichen Sie es mit den Kriterien und ordnen Sie die Ergebnisse.

Bewahren Sie dokumentierte Informationen sowohl zum Prozess (Abschnitt 6.1.2) als auch zu den Ergebnissen (Abschnitt 8.2) auf. Wiederholen Sie die Beurteilung in Ihren geplanten Abständen und bei wesentlichen Änderungen.

Ein Praxisbeispiel

Ein Softwareunternehmen mit 60 Mitarbeitenden beschränkt sein Managementsystem auf seine SaaS-Plattform und genehmigt eine 5×5-Matrix mit einer Akzeptanzschwelle von 8. Es identifiziert 32 Szenarien, davon 11 oberhalb der Schwelle.

Diese 11 gehen in den Behandlungsplan, die übrigen 21 akzeptieren die Eigentümer. Für das Audit legt das Unternehmen die Methode, die datierten Ergebnisse und das Protokoll der Genehmigung durch die Leitung vor.

Bewährte Praktiken

• Lassen Sie die Akzeptanzkriterien von der obersten Leitung genehmigen. Andernfalls entscheidet der Beurteilende, wie viel Risiko das Unternehmen tragen kann.
• Beziehen Sie das Vorfallprotokoll in jede Runde ein, denn echte Ereignisse sind Ihr bester Maßstab.
• Bewahren Sie datierte Fassungen auf, um zu zeigen, dass sich der Prozess tatsächlich wiederholt.
• Gleichen Sie Ihre Ergebnisse danach mit Anhang A ab, um fehlende Maßnahmen zu finden. Das ist ein Sicherheitsnetz und darf nie zu Ihrer Risikoliste werden.
• Beziehen Sie Lieferanten und Cloud-Dienste in die Diskussion ein, wenn der Anwendungsbereich von ihnen abhängt.

Häufige Fehler

• Von Anhang A auszugehen und das Ergebnis Risikobeurteilung zu nennen. Das ist eine Überprüfung von Maßnahmen, und ein Auditor erkennt den Unterschied.
• Keine schriftlichen Akzeptanzkriterien zu haben, wodurch jede Akzeptanz anfechtbar bleibt.
• Einmal für das Zertifikat zu beurteilen und nie wieder, sodass das Überwachungsaudit eine veraltete Akte vorfindet.

Fragen

Ist für die Risikobeurteilung ein Asset-Inventar nötig?

Abschnitt 6.1.2 verlangt es seit 2013 nicht mehr. Maßnahme 5.9 aus Anhang A fordert jedoch ein Inventar, und viele Unternehmen beginnen weiterhin damit.

Welche Methode verlangt ISO 27001?

Keine. Sie stellt Anforderungen an die Kriterien und an die Ergebnisse.

Wie oft muss die Beurteilung durchgeführt werden?

In geplanten Abständen, die Sie selbst festlegen, und bei wesentlichen Änderungen (Abschnitt 8.2). Einmal im Jahr ist üblich.

Was will ein Zertifizierungsauditor sehen?

Den dokumentierten Prozess und die Kriterien, die datierten Ergebnisse, die Eigentümer und einen klaren Weg von den Ergebnissen zum Behandlungsplan und zur Erklärung zur Anwendbarkeit.

Was hat sich in der Ausgabe 2022 geändert?

Der Kern von Abschnitt 6.1.2 ist gleich geblieben. Anhang A wurde in 93 Maßnahmen in vier Themen neu gegliedert.