Um die ISO-27001-Zertifizierung zu erreichen, legt ein Unternehmen seinen Anwendungsbereich fest und zeichnet ihn auf, beurteilt seine Risiken, schreibt die Erklärung zur Anwendbarkeit über alle 93 Controls in Anhang A, betreibt das Managementsystem lange genug, um Aufzeichnungen zu haben, wählt eine für ISO/IEC 27001 akkreditierte Zertifizierungsstelle und besteht eine Dokumentenprüfung der Stufe 1, gefolgt von einem Audit der Stufe 2 des laufenden Systems. Vier bis sieben Monate sind für ein kleines Softwareunternehmen realistisch, danach ein Überwachungsaudit pro Jahr und die Rezertifizierung im dritten Jahr. Die Schritte haben eine Reihenfolge, und Schritte in falscher Reihenfolge müssen wiederholt werden.

1. Anwendungsbereich festlegen und aufschreiben

Was das Zertifikat abdeckt: welche Teile der Organisation, welche Dienstleistungen, welche Standorte. Der Anwendungsbereich bestimmt alles Weitere, einschließlich der Auditgebühr, denn die Audittage ergeben sich aus der erfassten Personenzahl. Schreiben Sie ihn eng und wahrheitsgemäß. Ein Anwendungsbereich, der zu weit greift, kostet Tage und lädt zu Feststellungen in Bereichen ein, die Sie gar nicht zertifiziert brauchten.

2. Kontext, interessierte Parteien und die Risikobeurteilung

Abschnitte 4 und 6. Was Ihre Fähigkeit beeinflusst, ein Informationssicherheits-Managementsystem zu betreiben, wer daran ein Interesse hat und was schiefgehen könnte. Das ist das Fundament, an dem ein Auditor alles andere misst.

3. Die Erklärung zur Anwendbarkeit

Abschnitt 6.1.3 und das Dokument, das eine Zertifizierungsstelle zuerst liest. Alle 93 Controls in Anhang A, jedes als anwendbar oder ausgeschlossen erklärt, jedes mit Begründung. Ausschlüsse sind legitim und müssen begründet werden. Eine SoA, die alles als anwendbar markiert, um gründlich zu wirken, schafft 93 Dinge, die nachzuweisen sind.

4. Das System betreiben und die Aufzeichnungen führen

Richtlinien genehmigt, Risiken behandelt, Lieferanten beurteilt, Zugriffe überprüft, Vorfälle behandelt. Hier zählt der Kalender mehr als die Dokumente: Der Auditor wird nach Aufzeichnungen über einen Zeitraum fragen, das System muss also gelaufen sein, nicht nur entworfen.

Minimum vor Stufe 2: ein internes Audit und eine Managementbewertung, beide mit Aufzeichnungen. Das sind die zwei häufigsten Gründe, aus denen eine Stufe 2 verschoben wird.

5. Eine akkreditierte Zertifizierungsstelle wählen

Ein eigenes Unternehmen, direkt beauftragt und bezahlt. Prüfen Sie die Akkreditierung speziell für ISO/IEC 27001 im öffentlichen Register der Akkreditierungsstelle. Wie man das prüft.

6. Stufe 1

Eine Bereitschaftsprüfung, meist kürzer und oft aus der Ferne. Der Auditor liest Ihre dokumentierte Information und entscheidet, ob es sich lohnt, Stufe 2 zu buchen. Feststellungen hier sind billig. Das ist der Punkt, an dem echte Bereitschaft Geld spart.

7. Stufe 2

Das vollständige Audit. Der Auditor nimmt Stichproben aus den Aufzeichnungen und prüft, ob das System so arbeitet wie dokumentiert. Abweichungen werden als schwerwiegend oder geringfügig festgestellt; schwerwiegende müssen behoben sein, bevor ein Zertifikat ausgestellt wird.

8. Die drei Jahre danach

Überwachungsaudits jedes Jahr mit etwa einem Drittel der ursprünglichen Auditzeit, dann Rezertifizierung mit etwa zwei Dritteln. Das ist der größte Teil des Zyklus und der größte Teil der Gesamtkosten. Die Rechnung.

Der Teil, der entscheidet

Ob die Nachweise da sind, wenn danach gefragt wird. Unternehmen, die sich schwertun, fehlen selten Richtlinien. Ihnen fehlen die zwölf Monate Aufzeichnungen, die zeigen, dass die Richtlinien befolgt wurden.