ISO 27001 Klausel 7: die Klausel, die Ihr ISMS am Laufen hält, wenn Menschen gehen

Was Klausel 7 abdeckt

Fünf Teile. Jeder nimmt in der Norm nur wenige Zeilen ein, und jeder hat eine Aufgabe.

• 7.1 Ressourcen. Die Menschen, die Zeit und das Budget, die das ISMS braucht.
• 7.2 Kompetenz. Die Menschen, die Sicherheitsaufgaben übernehmen, können das auch, und Sie können belegen, warum.
• 7.3 Bewusstsein. Alle anderen wissen genug, um nicht die Schwachstelle zu sein.
• 7.4 Kommunikation. Sie haben festgelegt, was kommuniziert wird, wann, an wen und wie.
• 7.5 Dokumentierte Information. Ihre Regeln und Ihre Nachweise sind aktuell, auffindbar und gelenkt.

Ressourcen

Die kürzeste Anforderung der Klausel und die, die am leichtesten durchgewinkt wird. Sie müssen ermitteln, was das ISMS braucht, und es dann bereitstellen: Arbeitszeit einer Person, eine Budgetposition für Schulungen oder Werkzeuge und Zeit im Kalender für die Arbeit.

Die Entscheidung selbst liegt bei der Geschäftsführung, und deshalb führt das direkt zurück zu dem, was die Norm von der Geschäftsführung verlangt. Was Klausel 7 ergänzt, ist der praktische Test: Wenn die Person, die für Sicherheit verantwortlich ist, dafür keine Stunden reserviert hat, ist das ein zweiter Job, der in eine volle Woche gequetscht wird, und ein Auditor behandelt das als Lücke bei den Ressourcen.

Kompetenz und Bewusstsein, zwei verschiedene Dinge

Dieses Paar wird am häufigsten verwechselt, und die Unterscheidung ist zwei Minuten wert.

Kompetenz (7.2) gilt für die Menschen, deren Arbeit die Informationssicherheit beeinflusst: wer Zugriffsrechte überprüft, wer die Firewall betreut, wer Vorfälle bearbeitet. Für jede dieser Rollen verlangt die Norm, dass Sie festlegen, welche Kompetenz die Rolle braucht, dass Sie durch Ausbildung, Schulung oder Erfahrung sicherstellen, dass die Person sie hat, und dass Sie einen Nachweis dafür aufbewahren. Wenn Sie jemanden schulen mussten, um eine Lücke zu schließen, müssen Sie danach auch prüfen, ob die Schulung gewirkt hat.

In der Praxis sind die Nachweise ganz gewöhnlich: ein Zertifikat, ein Lebenslauf mit fünf Jahren in dieser Aufgabe, das Protokoll einer internen Übergabe oder ein Testergebnis. Eine Zeile pro Rolle in einer Tabelle genügt. Die häufige Feststellung hat nichts damit zu tun, dass Menschen nicht kompetent wären. Sie lautet, dass niemand aufgeschrieben hat, was die Rolle verlangt, und es deshalb nichts gibt, womit sich jemand vergleichen lässt.

Bewusstsein (7.3) gilt für alle, die unter Ihrer Kontrolle arbeiten, auch für externe Dienstleister. Drei Dinge, und die Norm nennt alle drei: Sie wissen, dass es eine Informationssicherheitsrichtlinie gibt und was ungefähr darin steht, sie wissen, wie ihre eigene Arbeit dazu beiträgt, und sie wissen, was passiert, wenn sie sich nicht an die Regeln halten.

Der letzte Punkt klingt streng, bis man sieht, was er verhindert: eine Entwicklerin, die Kundendaten auf ein privates Laufwerk kopiert, weil es schneller war, obwohl jemand, der die Regel verstanden hat, vorher gefragt hätte.

Und hier stolpern Teams. Ein Auditor prüft Bewusstsein nicht an Ihrer Schulungsplattform. Er fragt jemanden. "Was würden Sie tun, wenn ein Lieferant per E-Mail darum bittet, seine Bankverbindung zu ändern?" Wenn drei Personen drei verschiedene Antworten geben, beweist Ihre Abschlussquote von 100 Prozent nichts. Wenn in Ihrem Team noch niemand diese Sitzung glaubwürdig leiten kann, übernimmt das eine externe Sicherheitsleitung, bis es jemand kann.

Kommunikation

Klausel 7.4 verlangt, dass Sie vier Dinge festlegen: worüber Sie im Bereich Sicherheit kommunizieren, wann, mit wem und wie. Das gilt sowohl im Unternehmen als auch nach außen.

Die interne Hälfte haben die meisten Unternehmen zufällig: einen Kanal für Sicherheitsfragen, eine Zeile im Onboarding. Die externe Hälfte ist die Lücke. Wenn Sie an einem Freitagabend einen Vorfall hätten, wer informiert die Kundschaft, in welcher Frist, und wer gibt die Formulierung frei? Das vorher aufzuschreiben ist die ganze Anforderung, und es ist der Unterschied zwischen einer ruhigen und einer panischen E-Mail.

Eine kurze Tabelle genügt. Eine Zeile pro Thema, das Sie kommunizieren, vier Spalten für was, wann, an wen und wie.

Dokumentierte Information

ISO 27001 verwendet einen einzigen Begriff, "dokumentierte Information", für zwei verschiedene Dinge.

Dokumente sind die Regeln: Ihre Richtlinien, Ihre Verfahren, die Beschreibung des Anwendungsbereichs. Sie sagen den Menschen, was zu tun ist.

Aufzeichnungen sind der Beleg: die ausgefüllte Zugriffsüberprüfung, das Schulungsprotokoll, das Protokoll einer Managementbewertung. Sie zeigen, dass etwas passiert ist.

Beides muss gelenkt werden, und die Norm sagt genau, was das bedeutet. Wenn Sie etwas erstellen oder aktualisieren, muss es erkennbar sein (Titel, Datum, Verfasser), in einem nutzbaren Format vorliegen und von jemandem geprüft und freigegeben werden, bevor es zählt. Sobald es existiert, muss es dort verfügbar sein, wo Menschen es brauchen, davor geschützt sein, verloren zu gehen oder von den falschen Personen geändert zu werden, lesbar bleiben, versioniert sein und so lange aufbewahrt werden, wie Sie es festgelegt haben, und danach vernichtet werden.

Zwei praktische Fallen:

Aufbewahrungsfrist. Wenn Ihre Regel sagt, dass Sie Aufzeichnungen zur Zugriffsüberprüfung drei Jahre aufbewahren, ist es eine Feststellung, wenn Sie sie nach einem Jahr löschen. Genauso, wenn es überhaupt keine Regel gibt, was meist auffällt, sobald ein Auditor nach den Aufzeichnungen des Vorjahres fragt und sie weg sind.

Dokumente externer Herkunft. Auditberichte von Lieferanten, Anforderungen aus Kundenverträgen, das Verzeichnis der rechtlichen Anforderungen: alles von außen, worauf Ihr System angewiesen ist, muss ebenfalls erkennbar und gelenkt sein. Den SOC-2-Bericht eines Lieferanten auf ein privates Laufwerk herunterzuladen zählt nicht.

Das hier aufgeräumt zu halten ist auch der Grund, warum das Zertifizierungsaudit kurz bleibt, und deshalb zahlt es sich meist aus, die Nachweise früh zu ordnen.

Was ein Auditor prüft

Feststellungen zu Klausel 7 sind selten dramatisch. Sie sehen so aus:

• Alle haben die Sicherheitsschulung absolviert, aber es gibt keine Aufzeichnung darüber, wer sie wann gemacht hat.
• Eine Richtlinie im Einsatz ohne Versionsnummer, ohne Freigabedatum, und eine zweite Fassung in einem anderen Ordner, in der etwas anderes steht.
• Keine schriftliche Kompetenzanforderung für die Person, die das ISMS betreut.
• Mitarbeitende, die nicht sagen können, wo die Sicherheitsrichtlinie liegt oder was sie von ihnen verlangt.
• Aufzeichnungen, die vor Ablauf der Aufbewahrungsfrist gelöscht wurden, oder die ohne festgelegte Frist aufbewahrt werden.
• Ein Prüfbericht eines Lieferanten, den niemand findet.

Nichts davon dauert lange. Unter Auditdruck dauert es länger als in einer ruhigen Woche vorher.

Wo Sie anfangen

1. Listen Sie die Rollen auf, deren Arbeit die Informationssicherheit beeinflusst, und schreiben Sie eine Zeile pro Rolle dazu, was die Rolle wissen muss. Diese Liste ist Ihre Kompetenzanforderung.
2. Notieren Sie für jede dieser Personen die Nachweise, die Sie schon haben: ein Zertifikat, Erfahrung, einen Schulungsnachweis. Das meiste ist vorhanden, es wurde nur noch nie an einer Stelle gesammelt.
3. Schreiben Sie die drei Punkte zum Bewusstsein in Ihr Onboarding und testen Sie sie einmal, indem Sie drei Personen eine echte Frage stellen.
4. Füllen Sie eine Kommunikationstabelle mit vier Spalten: was, wann, an wen, wie. Nehmen Sie mindestens eine externe Zeile für Vorfälle auf.
5. Gehen Sie Ihre Richtlinien durch und prüfen Sie Titel, Verantwortliche, Version, Freigabedatum und Aufbewahrungsregel. Ergänzen Sie, was fehlt, und löschen Sie die Doppelungen.

Wie geht es weiter?

Ressourcen, die Richtlinie und die Ziele kommen von oben, deshalb zeigt was die Norm von der Geschäftsführung verlangt, woher Klausel 7 ihr Budget und ihre Richtung bekommt. Und weil Bewusstsein geprüft wird, indem man Menschen fragt, und nicht, indem man Dokumente liest, ist Ihr internes Audit der Ort, an dem Sie das üben. Wie ein internes Audit wirklich abläuft führt durch diesen Probelauf, bevor ein Zertifizierungsauditor ihn im Ernst durchführt.