ISO/IEC 27001 — Informationssicherheits-Managementsystem
Ein ISO/IEC-27001-Audit beginnt fast immer mit demselben Dokument: der Erklärung zur Anwendbarkeit. Von ihr aus verfolgt der Auditor, welche Maßnahmen aus Anhang A angewendet werden, warum einzelne ausgeschlossen sind und wo der Nachweis je angewendeter Maßnahme liegt — und sobald Erklärung und Praxis auseinandergehen, folgt das gesamte übrige Audit dieser Lücke. Unsere Vorbereitung legt Anwendungsbereich und Werteverzeichnis fest, verknüpft Risikobeurteilung und Risikobehandlungsplan mit den Maßnahmen und erzeugt die Erklärung zur Anwendbarkeit als Ergebnis dieser Kette statt als Formular, das am Ende ausgefüllt wird. Die mit der Revision 2022 eingeführten Maßnahmen sowie die Absicherung von Lieferanten und Cloud-Diensten sind die Stellen, an denen die Nachweise am häufigsten fehlen.
Eine allein von der IT getragene Vorbereitung gerät im Audit ins Stocken: Zugriffsberechtigung, Lieferantenverträge und Vorfallmeldung erzeugen keine Nachweise, wenn sie nicht gemeinsam mit Personal, Einkauf und Recht aufgebaut werden.
Jetzt Angebot anfordern-
Festlegung des Anwendungsbereichs (Abschn. 4.3) und Werteverzeichnis (A.5.9)
-
Informationssicherheits-Risikobeurteilung und Behandlungsplan (Abschn. 6.1.2, 6.1.3)
-
Erklärung zur Anwendbarkeit (SoA) und Begründungen
-
Umsetzung der Maßnahmen aus Anhang A und deren Nachweise
-
Lieferantenbeziehungen und Absicherung von Cloud-Diensten
-
Management von Informationssicherheitsvorfällen und Geschäftsfortführung
Angebot für die Auditvorbereitung anfordern
Wir stimmen Umfang und Arbeitsplan auf Ihren Audittermin und Bedarf ab und erstellen dazu ein Angebot.