Das komplette ISO 27001-Konformitätspaket ist ein umfassender Praxisleitfaden für Organisationen und Fachkräfte, die ein Informationssicherheits-Managementsystem aufbauen, dokumentieren, betreiben, auditieren und auf die ISO-27001-Zertifizierung vorbereiten möchten.
Geschrieben von Daniel Smith, verbindet das Buch grundlegendes ISO-27001-Wissen mit konkreten Implementierungsanleitungen und umfangreichen Dokumentationsvorlagen.
Der Leitfaden beginnt mit den Grundlagen eines Informationssicherheits-Managementsystems (ISMS) und erklärt, warum Informationssicherheit nicht nur aus einzelnen technischen Kontrollen besteht. Ein wirksames ISMS verbindet Mitarbeiter, Prozesse und IT-Systeme mit einem strukturierten Risikomanagementansatz, um Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu schützen.
Leser erfahren, wie ISO 27001 Organisationen dabei unterstützt, sensible Daten zu schützen, gesetzliche und regulatorische Verpflichtungen zu erfüllen, Sicherheitsrisiken systematisch zu bewerten, Sicherheitsvorfälle zu reduzieren und eine Kultur des Sicherheitsbewusstseins aufzubauen.
Das Buch behandelt die wesentlichen ISO-27001-Bereiche wie:
Kontext der Organisation
Führung und Verantwortung
Planung
Risikobewertung
Risikobehandlung
Unterstützung
Betrieb
Leistungsbewertung
interne Audits
Managementbewertung
Abweichungen und Korrekturmaßnahmen
kontinuierliche Verbesserung
Ein zentraler Schwerpunkt liegt auf dem Risikomanagement. Leser lernen, Informationswerte, Bedrohungen und Schwachstellen zu identifizieren, Eintrittswahrscheinlichkeit und Auswirkungen zu bewerten, Risikobereitschaft festzulegen und Risiken durch Minderung, Vermeidung, Übertragung oder Akzeptanz zu behandeln.
Das Buch erklärt außerdem ausführlich die Entwicklung eines Risikobehandlungsplans, einschließlich Maßnahmen, Ressourcen, Verantwortlichkeiten, Zeitplänen und Wirksamkeitsüberwachung.
Ein weiterer Schwerpunkt ist die praktische ISMS-Dokumentation. Behandelt werden unter anderem:
Informationssicherheitsrichtlinie
Risikobewertungs- und Behandlungsmethodik
Anwendbarkeitserklärung (SoA)
Risikoregister
Risikobehandlungsplan
interne Prüfberichte
Managementbewertungsprotokolle
Abweichungs- und Korrekturmaßnahmenberichte
Vorfallmanagement
Zugriffskontrolle
Informationsklassifizierung
Änderungsmanagement
Asset Management
Business Continuity
Das Buch enthält darüber hinaus einen umfangreichen Vorlagenbereich. Der vierte Teil beginnt mit Richtlinien, Verfahren, Arbeitsanweisungen, Formularen, Registern, Protokollen, Managementbewertungsdokumenten, internen Auditdokumenten und einem vollständigen ISMS-Handbuch.
Auf Seite 92 befindet sich beispielsweise eine praktische Vorlage für eine Informationssicherheitsrichtlinie. Seite 94 zeigt eine Vorlage für Risikobewertung und Risikobehandlung. Seite 96 enthält ein Beispiel für die Anwendbarkeitserklärung, während Seite 98 ein Risikoregister und einen Risikobehandlungsplan visualisiert. Seite 100 zeigt ein strukturiertes Managementbewertungsprotokoll.
Der Zertifizierungsbereich führt Leser von der ersten Vorbereitung über die Gap-Analyse und Implementierung bis zu internen Audits, Stage-1- und Stage-2-Audits, Korrekturmaßnahmen, Überwachungsaudits und Rezertifizierung.
Damit eignet sich dieses Buch sowohl als Lernressource als auch als praktisches Arbeitsinstrument für den Aufbau eines dokumentierten, auditierbaren und kontinuierlich verbesserten ISMS.