27005-03 Kontext festlegen

Für: V, IA
Quelle: ISO/IEC 27005:2018(en), Englisch. Abschnitt 7, Anhang A informativ

Input von 7.1 ist alle Information über die Organisation, die für das Festlegen des Kontexts relevant ist. Die Handlung: der externe und interne Kontext sollte festgelegt werden. Das umfasst die Grundkriterien (7.2), Umfang und Grenzen (7.3) und eine geeignete Organisation, die das Risikomanagement betreibt (7.4).

Die Umsetzungsanleitung sagt, es sei wesentlich, den Zweck zu bestimmen, weil er den Gesamtprozess und besonders den Kontext beeinflusst. „It is essential“. Der Zweck kann sein: ein ISMS zu unterstützen; rechtliche Einhaltung und Nachweis der gebotenen Sorgfalt; Vorbereitung eines Plans zur Betriebskontinuität; Vorbereitung eines Plans zur Reaktion auf Vorfälle; Beschreibung der Informationssicherheitsanforderungen für ein Produkt, einen Dienst oder einen Mechanismus. Die Anleitung für die Elemente, die ein ISMS unterstützen, wird in 7.2, 7.3 und 7.4 weiter behandelt. Output: die Festlegung der Grundkriterien, von Umfang und Grenzen, und der Organisation für den Prozess.

7.2.1: je nach Umfang und Zielen können verschiedene Ansätze gelten. Der Ansatz kann sich auch je Iteration unterscheiden. Ein geeigneter Ansatz sollte gewählt oder entwickelt werden, der Grundkriterien anspricht: Bewertungskriterien, Auswirkungskriterien, Akzeptanzkriterien. Zusätzlich sollte die Organisation beurteilen, ob die nötigen Ressourcen verfügbar sind, um die Risikobeurteilung durchzuführen und einen Behandlungsplan aufzustellen, Politiken und Verfahren festzulegen und umzusetzen einschließlich der ausgewählten Maßnahmen, die Maßnahmen zu überwachen, und den Prozess selbst zu überwachen.

7.2.2: Bewertungskriterien sollten entwickelt werden, um das Informationssicherheitsrisiko der Organisation zu bewerten, unter Berücksichtigung des strategischen Werts des Geschäftsinformationsprozesses, der Kritikalität der beteiligten Informationswerte, der betrieblichen und geschäftlichen Bedeutung von Verfügbarkeit, Vertraulichkeit und Integrität, sowie der Erwartungen und Wahrnehmungen der Beteiligten und negativer Folgen für Ansehen und Ruf. Die Kriterien können zusätzlich genutzt werden, um Prioritäten der Behandlung festzulegen. „Can“.

7.2.3 trägt die Anmerkung, ISO 31000 verwende „consequence criteria“ anstelle von „impact criteria“. Auswirkungskriterien sollten entwickelt und als Grad des Schadens oder der Kosten für die Organisation festgelegt werden, den ein Informationssicherheitsereignis verursacht, unter Berücksichtigung der Klassifizierung des betroffenen Informationswerts, von Verletzungen der Informationssicherheit, zum Beispiel Verlust von Vertraulichkeit, Integrität und Verfügbarkeit, beeinträchtigter Abläufe intern oder bei Dritten, des Verlusts von Geschäft und finanziellem Wert, der Störung von Plänen und Fristen, und der Schädigung des Rufs. ISO 31000 wird nicht nacherzählt.

7.2.4: Akzeptanzkriterien sollten entwickelt und festgelegt werden. Sie hängen oft von Politiken, Zielen und den Interessen der Beteiligten ab. Die Organisation sollte eigene Skalen für Niveaus der Risikoakzeptanz festlegen. Bei der Entwicklung sollte berücksichtigt werden: die Kriterien können mehrere Schwellen enthalten, mit einem gewünschten Zielniveau und der Möglichkeit, dass höhere Leitungspersonen Risiken darüber unter festgelegten Umständen akzeptieren; sie können als Verhältnis von geschätztem Gewinn oder anderem Geschäftsnutzen zum geschätzten Risiko ausgedrückt werden; verschiedene Kriterien können für verschiedene Risikoklassen gelten; sie können Anforderungen an eine spätere zusätzliche Behandlung enthalten, zum Beispiel kann ein Risiko akzeptiert werden, wenn Genehmigung und Verpflichtung bestehen, es innerhalb einer festgelegten Frist auf ein annehmbares Niveau zu senken. Die Kriterien können sich danach unterscheiden, wie lange das Risiko voraussichtlich besteht, zum Beispiel bei einer vorübergehenden Tätigkeit. Sie sollten unter Berücksichtigung von Geschäft, Betrieb, Technik, Finanzen sowie sozialen und humanitären Faktoren aufgestellt werden. „Can“ bleibt Möglichkeit. Weitere Information kann in Anhang A stehen.

7.3: die Organisation sollte Umfang und Grenzen festlegen. Der Umfang ist nach dem Wortlaut des Leitfadens so festzulegen, dass alle relevanten Werte in der Beurteilung berücksichtigt werden. Die Grenzen sind so zu erkennen, dass Risiken behandelt werden, die durch diese Grenzen entstehen können. Der englische Wortlaut ist zweimal „needs to“, nicht „shall“. Information über die Organisation sollte gesammelt werden, um die Umgebung und ihre Relevanz zu bestimmen. Beim Festlegen sollte die Organisation berücksichtigen: strategische Geschäftsziele, Strategien und Politiken; Geschäftsprozesse; Funktionen und Struktur; die Informationssicherheitspolitik; den Gesamtansatz der Organisation zum Risikomanagement; Informationswerte; Standorte und ihre geografischen Merkmale; Beschränkungen, die auf die Organisation wirken; die Erwartung der Beteiligten; das soziokulturelle Umfeld; Schnittstellen, das heißt Informationsaustausch mit der Umgebung. Zusätzlich sollte die Organisation jede Ausnahme vom Umfang begründen. Beispiele für den Umfang können eine IT-Anwendung, eine IT-Infrastruktur, ein Geschäftsprozess oder ein festgelegter Teil einer Organisation sein. „May“. Weitere Information kann in Anhang A stehen.

7.4: Organisation und Verantwortlichkeiten für den Prozess sollten eingerichtet und aufrechterhalten werden. Als Hauptrollen und Verantwortlichkeiten nennt der Abschnitt: Entwicklung eines für die Organisation geeigneten Prozesses; Identifikation und Analyse der Beteiligten; Festlegung der Rollen und Verantwortlichkeiten aller internen und externen Parteien; Aufbau der nötigen Beziehungen zu Beteiligten und der Schnittstellen zu übergeordneten Risikomanagementfunktionen, zum Beispiel operationales Risikomanagement, sowie zu anderen relevanten Projekten oder Tätigkeiten; Festlegung von Eskalationswegen für Entscheidungen; Festlegung der zu führenden Aufzeichnungen. Diese Organisation sollte von den zuständigen Leitungspersonen genehmigt werden. Ein Organigramm schreibt 7.4 nicht vor.

Anhang A ist informativ. A.1 spricht davon, die Organisation zu untersuchen: Zweck, Geschäft, Auftrag, Werte und Strategien, zusammen mit dem, was zu ihrer Entwicklung beiträgt, zum Beispiel Unterbeauftragung. Er erläutert diese Wörter an Beispielen und nennt Strukturformen, darunter divisionale und funktionale Struktur, sowie die Bemerkung, eine Organisation könne Elemente beider Formen haben. Ein Organigramm sollte Berichtswege und Delegation zeigen und auch andere Informationsflüsse. A.2 sagt, alle Beschränkungen, die die Organisation und ihre Ausrichtung der Informationssicherheit bestimmen, sollten berücksichtigt werden. Ihre Quelle kann innen oder außen liegen. Ressourcen- und Notfallbeschränkungen gehören zu den wichtigsten. Das sind Empfehlungen eines informativen Anhangs. Sie erzeugen keine zweite Anforderung neben Abschnitt 7. A.3 setzt die Liste der Beschränkungen fort. Die Beispiele werden hier nicht als Prüfliste abgeschrieben.

Nicht in diesem Text: eine Kontextmethode aus ISO 31000, ein Organigramm als Pflicht, und die Beispielbeschreibungen aus Anhang A als Soll-Liste.