ISO 27001:2013 Erweiterte Strategien ist ein praxisorientierter Leitfaden für Unternehmen und Fachkräfte, die ihr Informationssicherheits-Managementsystem über grundlegende Compliance-Anforderungen hinaus weiterentwickeln möchten.
Geschrieben von Daniel Smith, zeigt das Buch, wie Informationssicherheit als strategischer Bestandteil des Unternehmens eingesetzt werden kann, um sensible Informationen zu schützen, Cyberrisiken zu reduzieren, regulatorische Anforderungen zu erfüllen und langfristiges Unternehmenswachstum zu unterstützen.
Das Buch beginnt mit einer fortgeschrittenen Betrachtung der ISO 27001:2013 und erklärt, wie ein ISMS nicht nur zur Anwendung technischer Sicherheitskontrollen dient, sondern Informationssicherheit mit Geschäftsstrategie, Führung, Risikomanagement und kontinuierlicher Verbesserung verbindet.
Ein zentraler Schwerpunkt liegt auf der Ausrichtung der Informationssicherheit an den Unternehmenszielen. Leser erfahren, wie Sicherheitsziele mit Wachstum, Innovation, Kundenvertrauen, Marktexpansion und Compliance verbunden werden können. Das Buch behandelt außerdem die Beteiligung des Top-Managements, die Zusammenarbeit verschiedener Abteilungen, die Sicherheitskultur sowie die Abstimmung von Sicherheitskennzahlen auf geschäftliche Leistungskennzahlen.
Ein weiterer wichtiger Schwerpunkt ist das fortgeschrittene Risikomanagement. Das Buch erklärt prädiktive Risikoanalysen, Risikoprognosen und Szenarioplanung. Dabei wird gezeigt, wie historische Daten, Threat Intelligence, maschinelles Lernen und Sicherheitsanalysen genutzt werden können, um mögliche Cyberbedrohungen frühzeitig zu erkennen.
Behandelte Risiken und Maßnahmen umfassen unter anderem:
Phishing
Ransomware
Zero-Day-Schwachstellen
Netzwerkangriffe
Betrug
ungepatchte Systeme
Datenschutzverletzungen
Multi-Faktor-Authentifizierung
Verschlüsselung
Patch-Management
Zugriffskontrolle
SIEM-Überwachung
Threat Intelligence
Das Buch behandelt außerdem ausführlich das Lieferketten- und Drittparteienrisikomanagement. Leser lernen, externe Anbieter und Lieferanten zu bewerten, Due-Diligence-Prüfungen durchzuführen, Sicherheitsanforderungen in Verträgen und SLAs festzulegen, Lieferanten kontinuierlich zu überwachen und Risiken in erweiterten Lieferketten einschließlich Subunternehmern zu kontrollieren.
Weitere Kapitel beschäftigen sich mit kontinuierlicher Verbesserung und Innovation. Der PDCA-Zyklus, Kaizen, agile Sicherheitsmethoden, Echtzeitüberwachung, Mitarbeiterschulungen, Schwachstellenanalysen, Penetrationstests und kontinuierliche Feedbackschleifen werden als Werkzeuge für ein anpassungsfähiges und zukunftssicheres ISMS vorgestellt.
Der letzte Schwerpunkt ist die Audit- und Compliance-Bereitschaft. Das Buch zeigt, wie interne Audits vorbereitet und durchgeführt, externe Bewertungen unterstützt, Auditnachweise organisiert, Korrekturmaßnahmen umgesetzt und Auditergebnisse zur kontinuierlichen Verbesserung genutzt werden können.
Durch Fallstudien, Tabellen, praktische Beispiele, Risikoprognosewerkzeuge und Continuous-Improvement-Tracker bietet das Buch einen strukturierten Weg zu einem widerstandsfähigen, geschäftsorientierten und langfristig wirksamen Informationssicherheits-Managementsystem.