27005-01 Einordnung

Für: V, IA
Quelle: ISO/IEC 27005:2018(en), Englisch. Einleitung, Abschnitt 1, Abschnitt 2, Abschnitt 3, Abschnitt 4, Abschnitt 5, Vorwort zur Ausgabe

Die Einleitung sagt, das Dokument liefere Leitlinien für das Risikomanagement der Informationssicherheit in einer Organisation. Es liefert keine bestimmte Methode. Die Organisation definiert ihren Ansatz, zum Beispiel abhängig vom Anwendungsbereich eines Informationssicherheits-Managementsystems, vom Kontext des Risikomanagements oder vom Sektor. Vorhandene Methoden können unter dem hier beschriebenen Rahmen genutzt werden, um die Anforderungen eines ISMS umzusetzen. „Can“. Das Dokument beruht auf der Identifikation über Werte, Bedrohungen und Schwachstellen. Die Einleitung sagt, diese Methode werde von ISO/IEC 27001 nicht mehr verlangt. Andere Ansätze können genutzt werden.

Derselbe Absatz und das Vorwort sagen, das Dokument enthalte keine direkte Anleitung zur Umsetzung der ISMS-Anforderungen aus ISO/IEC 27001. Es richtet sich an Leitung und Personal, die sich mit diesem Risikomanagement befassen, und soweit angemessen an externe Parteien, die solche Tätigkeiten unterstützen.

Abschnitt 1 wiederholt: Leitlinien für das Risikomanagement der Informationssicherheit. Das Dokument unterstützt die allgemeinen Konzepte aus ISO/IEC 27001 und soll eine befriedigende Umsetzung der Informationssicherheit auf der Grundlage eines Risikomanagementansatzes unterstützen. „Is designed to assist“. Wissen über Konzepte, Modelle, Prozesse und Begriffe aus ISO/IEC 27001 und ISO/IEC 27002 sei wichtig für ein vollständiges Verständnis. Beide stehen hier nicht als vorliegende Ausgabe dieser Artikel. Anwendbar ist das Dokument auf alle Arten von Organisationen, die Risiken handhaben wollen, welche die Informationssicherheit der Organisation beeinträchtigen können. Beispiele: Wirtschaftsunternehmen, Behörden, Organisationen ohne Gewinnzweck.

Abschnitt 2 nennt als normative Verweisung nur ISO/IEC 27000. Abschnitt 3 sagt, es gelten die Begriffe aus ISO/IEC 27000 und die folgenden. Eine eigene Begriffsliste mit Definitionen steht in dem gelesenen Text von Abschnitt 3 nicht. Die Terminologiedatenbanken von ISO und IEC werden genannt.

Abschnitt 4 beschreibt den Aufbau. Hintergrund in Abschnitt 5. Überblick in Abschnitt 6. Danach: Kontext in Abschnitt 7, Risikobeurteilung in Abschnitt 8, Risikobehandlung in Abschnitt 9, Risikoakzeptanz in Abschnitt 10, Risikokommunikation in Abschnitt 11, Überwachung und Überprüfung in Abschnitt 12. Die Anhänge liefern zusätzliche Information. Anhang A zum Kontext. Anhang B zu Identifikation und Bewertung von Werten und zu Folgenabschätzungen. Anhang C Beispiele typischer Bedrohungen. Anhang D Schwachstellen und Methoden der Schwachstellenbeurteilung. Anhang E Beispiele von Beurteilungsansätzen. Anhang F Grenzen der Risikoveränderung. Alle Anhänge sind informativ.

Abschnitt 5 sagt, ein systematischer Ansatz sei nötig, um die Bedürfnisse der Organisation zu Informationssicherheitsanforderungen zu erkennen und ein wirksames ISMS zu schaffen. „Is necessary“ ist der Wortlaut des Hintergrunds. Der Ansatz sollte zur Umgebung der Organisation passen und insbesondere zum Risikomanagement des Unternehmens insgesamt passen. Sicherheitsanstrengungen sollten Risiken wirksam und rechtzeitig dort behandeln, wo und wann sie nötig sind. Das Risikomanagement der Informationssicherheit sollte Bestandteil aller Informationssicherheits-Managementtätigkeiten sein und sowohl bei der Verwirklichung als auch im laufenden Betrieb eines ISMS angewendet werden.

Es sollte ein fortlaufender Prozess sein. Der Prozess sollte den externen und internen Kontext festlegen, die Risiken beurteilen und sie mit einem Behandlungsplan behandeln, um Empfehlungen und Entscheidungen umzusetzen. Das Risikomanagement analysiert, was geschehen kann und welche Folgen möglich sind, bevor entschieden wird, was wann getan werden sollte, um das Risiko auf ein annehmbares Niveau zu senken.

Der Beitrag, den der Prozess leisten sollte, ist in Abschnitt 5 aufgezählt: Risiken werden ermittelt; sie werden nach Folgen für das Geschäft und nach der Eintrittswahrscheinlichkeit beurteilt; Wahrscheinlichkeit und Folgen werden kommuniziert und verstanden; eine Rangfolge der Behandlung wird festgelegt; Handlungen zur Verringerung werden priorisiert; Beteiligte werden einbezogen, wenn Entscheidungen fallen, und über den Stand informiert; die Wirksamkeit der Behandlung wird überwacht; Risiken und der Prozess werden regelmäßig überwacht und überprüft; Information wird festgehalten, um den Ansatz zu verbessern; Leitung und Personal werden über die Risiken und die ergriffenen Maßnahmen unterrichtet. Das sind Ziele, zu denen der Prozess beitragen sollte, keine Anforderungsliste einer Zertifizierung.

Der Prozess kann auf die Organisation insgesamt angewendet werden, auf einen abgegrenzten Teil, zum Beispiel eine Abteilung, einen Ort oder einen Dienst, auf ein Informationssystem, bestehend oder geplant, oder auf bestimmte Aspekte der Steuerung, zum Beispiel die Planung der Betriebskontinuität. „Can“.

Nicht in diesem Text: eine Methode, die der Leitfaden ausdrücklich nicht vorgibt, der Inhalt von ISO/IEC 27000, und eine Umsetzungshilfe zu den Anforderungen von ISO/IEC 27001:2022. Die sagt dieser Leitfaden von sich selbst nicht zu liefern. Der Abgleich für Auditoren steht in 27005-10.