IT-Sicherheitsmanagement nach der neuen ISO 27001 (eBook)

Dr. Heinrich Kersten ist IT-Sicherheitsexperte, Auditor und Zertifizierer (BSI, debis, Telekom) sowie Seminarleiter und Fachbuchautor.Dr. Gerhard Klett ist IT-Sicherheitsexperte mit Erfahrungen als Compliance Manager, Senior Security Consultant (BASF SE, BASF IT Services) und Fachbuchautor.Jürgen Reuter ist als Consultant in vielfältigen Bereichen im Einsatz, zurzeit liegt das Schwergewicht im Umfeld von Cloud Security und Compliance; er ist Fachbuchautor, BSI-Auditor und -Revisor.Klaus-Werner Schröder ist freiberuflicher IT-Sicherheitsberater mit Erfahrungen als ISO27001-Auditor und als Zertifizierer, Evaluator und Berater für Common Criteria.

Vorwort 6
Verwendete Abkürzungen 8
Inhaltsverzeichnis 10
1: Einführung 13
1.1 Historie und Informationen 13
1.2 Die Normenreihe 14
1.3 Das ISMS 16
1.4 Der Anhang A 23
1.5 ISMS und Auslagerung 25
1.6 Checkliste 26
Literatur 27
2: Die Anforderungen an ein ISMS 28
2.1 Kontext der Organisation (NK 4) 28
2.2 Führung (NK 5) 31
2.3 Planung (NK 6) 33
2.4 Unterstützung (NK 7) 38
2.5 Betrieb (NK 8) 42
2.6 Bewertung der Leistung (NK 9) 43
2.7 Verbesserung (NK 10) 46
2.8 Checkliste 47
Literatur 48
3: Risikomanagement 49
3.1 Risikomanagement als Aufgabe 49
3.2 Verfahren der Risikobeurteilung 57
3.2.1 IT-Grundschutz und Erweiterung 58
3.2.2 Ein Beispiel aus ISO 27005 60
3.2.3 Die Scorecard-Methode 62
3.2.4 Angriffspotenzial nach ISO 15408 69
Literatur 71
4: Sicherheit messen 73
4.1 Ziele 73
4.2 Überwachen und Messen 74
4.3 Messungen bewerten 82
Literatur 84
5: Interne und externe Audits 85
5.1 Ziele und Nutzen 86
5.2 Die Rahmenbedingungen 89
5.3 Vorbereiten eines Audits 98
5.4 Durchführung eines Audits 101
5.5 Typische Defizite 103
5.6 Auditbericht und Auswertung 107
Literatur 108
6: Die Controls im Anhang A 109
6.1 Überblick 109
6.2 Die einzelnen Controls… 111
6.2.1 Informationssicherheitsrichtlinien (A.5) 111
6.2.2 Organisation der Informationssicherheit (A.6) 114
6.2.3 Personalsicherheit (A.7) 120
6.2.4 Verwaltung der Werte (A.8) 125
6.2.5 Zugangssteuerung (A.9) 133
6.2.6 Kryptographie (A.10) 146
6.2.7 Physische und umgebungsbezogene Sicherheit (A.11) 148
6.2.8 Betriebssicherheit (A.12) 160
6.2.9 Kommunikationssicherheit (A.13) 173
6.2.10 Anschaffung, Entwicklung und Instandhalten von Systemen (A.14) 181
6.2.11 Lieferantenbeziehungen (A.15) 193
6.2.12 Handhabung von Informationssicherheitsvorfällen (A.16) 199
6.2.13 Informationssicherheitsaspekte beim Business Continuity Management (A.17) 205
6.2.14 Compliance (A.18) 211
Literatur 218
7: ISMS und mobile Infrastrukturen 219
7.1 Übersicht 219
7.2 Mobile Infrastrukturen in Unternehmen 220
7.3 ISMS und Mobile Device Management 221
7.4 Sicherheitsleitlinie 223
7.5 Sicherheitsrichtlinie 224
7.6 BCM und Notfallmanagement 229
Literatur 231
8: Umsteigen von „alt“ nach „neu“ 232
8.1 Vorüberlegungen 232
8.2 Hauptteil der ISO 27001 235
8.3 Anhang A der Norm 237
8.4 Weitere Dokumente und Pläne 239
8.5 Checkliste 240
Literatur 241
9: Interne Kontrollsysteme 242
9.1 Problemstellung 242
9.2 Klassische Beispiele 246
9.3 Handlungsempfehlung 248
Literatur 249
10: ISMS und IT-Sicherheitsgesetz 251
10.1 Überblick 251
10.2 ISMS-Anpassungen 252
Literatur 254
Fachbegriffe ­englisch/deutsch 255
Stichwortverzeichnis 257