Die vier Arten
- Richtlinie: was geschehen muss und warum. Kurz, stabil, von der Leitung genehmigt.
- Standard: die konkrete, messbare Regel, etwa eine Mindestlänge für Passwörter.
- Verfahren: wie man es tut, Schritt für Schritt, und wer jeden Schritt ausführt.
- Leitfaden: ein Rat zur guten Praxis, nicht verpflichtend.
Wie man erkennt, wohin etwas gehört
- Wenn es sich ändert, sobald sich ein Werkzeug ändert, gehört es nicht in eine Richtlinie.
- Wenn es sagt, wer was in welcher Reihenfolge tut, ist es ein Verfahren.
- Wenn Sie ein Audit nicht bestehen könnten, weil Sie es nicht tun, sollte es kein Leitfaden sein.
- Wenn zwei Dokumente dasselbe sagen, wird eines irgendwann falsch: Halten Sie es in einem und verweisen Sie darauf.
Wer was genehmigt
Die Leitung genehmigt Richtlinien. Prozessverantwortliche genehmigen meist Verfahren und Standards. Jedes Dokument trägt seinen Verantwortlichen, seine Version, sein Genehmigungsdatum und das Datum der nächsten Überprüfung.
Fragen
- Verlangt ISO 27001 Verfahren?
- Sie verlangt dokumentierte Information, wo die Norm es sagt und wo Sie es für nötig halten. Maßnahme 5.37 aus Anhang A verlangt dokumentierte Betriebsverfahren.
- Kann ein Dokument Richtlinie und Verfahren enthalten?
- In einem kleinen Unternehmen ja. Halten Sie sie aber als getrennte Teile: Die Regeln ändern sich seltener als die Schritte.