Warum sind ISO/IEC-Normen so nützlich?

Nicht nur Dropbox oder Cloud-Nutzer achten vermehrt auf zertifizierte Sicherheitsstandards bei Anbietern. Die zahlreichen Fälle von Cyberkriminalität und einem zu laxen Umgang von Unternehmen mit Kundendaten beunruhigen viele. Unternehmen und Endverbraucher suchen nach vertrauenswürdigen Anbietern, die mit den ihnen anvertrauten Daten und Dokumenten sicher umgehen und vor dem Zugriff Dritter schützen.

Wie ist aber ein guter Dienstleister zu erkennen? Hier hilft der Blick auf anerkannte Zertifikate für Informationssicherheit des jeweiligen Unternehmens. Basis solcher Zertifikate sind internationale, nationale aber auch spezifische Standards, die von bestimmten Organisationen und Verbänden entwickelt wurden. Eine solche Organisation ist das Deutsche Institut für Normung (DIN) und die Internation Organization für Standardization (ISO).

Die ISO/IEC 27002 beispielsweise führte in zwölf Aufgabenfeldern Vorgaben für Risikoanalyse und -bewältigung und insgesamt 123 Kontrollpunkte auf, die zum Teil sehr anschauliche Handlungsanweisungen für die Informationssicherheit enthalten. Im konkreten Anwendungsfall muss die Norm auf organisatorische, betriebliche und technische Maßnahmen heruntergebrochen werden. Wenn es also um ein entsprechendes Managementsystems eines Unternehmens geht, kommen schnell die ISO-Standards zur Sprache. Daher ist stets empfehlenswert, sich an solchen Best-Practice-Normen zu orientieren.

Um das Einhalten solcher etablierten Sicherheitsstandards nach Außen (z. B. gegenüber Kunden oder Anteilseignern) und nach Innen (z. B. gegenüber den Mitarbeitern oder deren Vertretern) zu dokumentieren, eignen sich Testate oder Zertifikate, die durch unabhängige Prüfstellen vergeben werden.

Anwender sollten im Vorfeld erkennen, was eine Zertifizierung nach einem bestimmten Standard wirklich bedeutet und sich damit beschäftigen. Die Liste anerkannter Zertifizierungsstellen ist lang, so dass es keinen Mangel an passenden Leistungen gibt. Die nunmehr 20 Jahre alte UIMCert ist eine solche, für ISO 27001 akkreditierte Zertifizierungsstelle. Sie verfügt über viel Erfahrung im Bereich der Zertifizierung von IT-Sicherheit und Datenschutz.

Doch gerade kleine und mittlere Unternehmen scheuen den internen Aufwand, der sich mit dieser Zertifizierung ergibt, und die externen Kosten. Allerdings sind solche Zertifikate nach ISO/IEC 27001 aus Sicht der Kunden sehr hilfreich. Sie legen den Grundstein für eine vertrauensvolle Zusammenarbeit und sorgen für Sicherheit und Klarheit.