ISO 27005
ISO 27005 Risikomanagement für die Informationssicherheit
Teams, die die Informationssicherheits-Risikobeurteilung nach ISO 27001, Abschnitte 6.1.2 und 6.1.3, durchführen.
ISO 27005 gibt Orientierung für das Management von Informationssicherheitsrisiken. Sie beschreibt die Bewertung und Behandlung der Risiken, die ISO 27001 fordert, aber selbst nicht ausführt. ComplyTrain führt dieses Register laufend fort, statt es einmal im Jahr als Dokument zu erstellen.
ComplyTrain unterstützt diese Norm vollständig
Was ISO 27005 ist
ISO 27001 verlangt in den Abschnitten 6.1.2 und 6.1.3, dass Sie Risiken für die Informationssicherheit bewerten und behandeln. Wie das geht, steht dort nicht. ISO/IEC 27005 liefert genau diese Anleitung: wie Sie Kriterien festlegen, Risiken identifizieren, analysieren und bewerten, über die Behandlung entscheiden und das Ganze fortlaufend überprüfen.
Sie liegt nicht neben dem Risikoprozess nach ISO 31000, sondern darin, angewandt speziell auf die Informationssicherheit. Wenn Sie Ihr Risikomanagement bereits nach ISO 31000 betreiben, dann ist ISO 27005 dieser Prozess, gerichtet auf Ihre Informationswerte.
Eine Anleitung, keine Zertifizierung
Ein ISO-27005-Zertifikat gibt es nicht. Zertifiziert wird nach ISO 27001, und Ihre Risikobewertung ist eines der Dinge, die der Auditor dafür prüft. ISO 27005 gibt Ihnen eine belastbare Methode. Das zählt, denn die häufigste Abweichung bei einer Risikobewertung ist nicht, dass die Risiken falsch sind, sondern dass niemand erklären kann, wie sie zustande kamen.
Wertorientiert oder szenarioorientiert
Es gibt zwei ehrliche Wege für den Einstieg. Der wertorientierte Ansatz geht von dem aus, was Sie besitzen: Systeme, Daten, Menschen. Von dort aus betrachtet er die Bedrohungen gegen jeden Wert und die Schwachstellen, über die eine Bedrohung wirksam wird. Er ist gründlich, und die meisten Organisationen beginnen so, weil das Inventar bereits vorliegt.
Der szenarioorientierte Ansatz geht von dem aus, was passieren könnte: ein Ransomware-Vorfall, ein Sicherheitsvorfall bei einem Lieferanten, ein Mitarbeiter, der eine Kundenliste mitnimmt. Von dort aus fragt er zurück, was dafür zutreffen müsste. Er erzeugt weniger, dafür größere Risiken, über die eine Geschäftsführung tatsächlich diskutieren kann, und er deckt oft die übergreifenden Gefährdungen auf, die eine Werteliste übersieht.
Keiner der beiden ist richtiger. Für ein Audit zählt, dass Sie sich bewusst für einen entschieden, ihn einheitlich angewandt haben und begründen können, warum. Ein Register, das beide ohne erklärte Methode vermischt, gerät bei Nachfragen ins Wanken.
Die Kriterien kommen zuerst
Die häufigste Schwäche einer Risikobewertung zur Informationssicherheit: Die Akzeptanzkriterien wurden nach der Bewertung geschrieben. Legen Sie fest, was Sie tolerieren, auf welcher Skala, und wer ein Risiko oberhalb dieser Grenze akzeptieren darf. Und zwar bevor ein einziges Risiko bewertet wird. Kriterien, die erst danach entstehen, sind an das Ergebnis angepasst.
Wie ComplyTrain Sie bei der Umsetzung unterstützt
Eine Risikobewertung zur Informationssicherheit fällt im Audit aus einem von zwei Gründen durch: Sie wurde einmal erstellt und nie wieder angefasst, oder zwei Personen kämen bei der Bewertung desselben Risikos nicht zum selben Ergebnis. ComplyTrain löst beides:
- Eine Methodik mit kalibrierten Skalen. So bedeuten Eintrittswahrscheinlichkeit und Auswirkung für verschiedene Bewerter dasselbe. Zu jeder Stufe gehört eine schriftliche Richtlinie statt einer bloßen Zahl.
- Risiken in einem einzigen Register über Ihre Standards hinweg. So werden ein Informationssicherheitsrisiko und ein Qualitätsrisiko nicht an zwei Stellen gepflegt.
- Entscheidungen zur Risikobehandlung werden mit Verantwortlichem und Datum festgehalten. Die Maßnahme, die das Risiko behandelt, ist mit der Anforderung verknüpft, die sie erfüllt.
- Die Überprüfung ist Teil des Prozesses und hängt nicht davon ab, dass jemand daran denkt. So bildet das Register die Organisation ab, wie sie heute ist.
Unter Risikomanagement erfahren Sie, wie Methodik und Register funktionieren. ISO 31000 beschreibt den übergeordneten Prozess, in den sich das Ganze einfügt.
Fragen
Ist ISO 27005 eine zertifizierbare Norm?
Nein. ISO 27005 ist ein Leitfaden. Ihr Zertifikat ist die ISO 27001, und die nach ISO 27005 durchgeführte Risikobeurteilung gehört zu den Nachweisen dafür.
Worin unterscheiden sich ISO 27005 und ISO 31000?
ISO 31000 beschreibt den allgemeinen Risikomanagementprozess für Risiken jeder Art. ISO 27005 überträgt diesen Prozess auf die Informationssicherheit und arbeitet mit den Begriffen Werte, Bedrohungen und Schwachstellen. Wer beide anwendet, führt keine zwei Systeme. Es ist derselbe Prozess in unterschiedlichem Anwendungsbereich.
Brauchen wir ein eigenes Register für Risiken der Informationssicherheit?
Müssen Sie nicht, und die Trennung kostet meist mehr, als sie bringt. Ein einziges Register mit passendem Zuschnitt zeigt dem Vorstand das gesamte Risikobild, während das Sicherheitsteam weiterhin nur seine eigene Sicht bearbeitet.
Wie oft sollte die Risikobewertung überprüft werden?
In einem festgelegten Rhythmus und immer dann, wenn sich etwas Wesentliches ändert: ein neues System, ein neuer Lieferant, ein Vorfall oder eine Änderung des Anwendungsbereichs. Die Norm schreibt keine Häufigkeit vor. Ein Auditor prüft, ob Sie den von Ihnen selbst festgelegten Rhythmus einhalten.
Schreibt ISO 27005 vor, welche Bewertungsskala wir verwenden müssen?
Nein. Es beschreibt den Prozess und überlässt die Skala bewusst Ihnen: Eine fünfstufige Skala, die für Ihre Organisation eine Bedeutung hat, ist mehr wert als eine siebenstufige aus einer Vorlage. Erwartet wird allerdings, dass die Skala definiert ist, dass die Definitionen schriftlich festgehalten sind und dass sie einheitlich angewendet werden.
Wie hängt das mit der Erklärung zur Anwendbarkeit (Statement of Applicability) zusammen?
Direkt. Die Risikobewertung benennt das Risiko. Die Behandlungsentscheidung wählt die Maßnahme, die es abdeckt. Das Statement of Applicability hält diese Auswahl mit Begründung fest. Ein Auditor liest die drei zusammen und prüft, ob sie dieselbe Geschichte erzählen.
Der Ablauf
Der Risikoprozess nach ISO 27005
ISO 27005 gibt dem Informationssicherheits-Risikomanagement eine wiederholbare Form. Es handelt sich um einen Leitfaden, nicht um eine zertifizierbare Norm. Erst damit lassen sich die Risikoklauseln der ISO 27001 in der Praxis umsetzen.
Kontext und Kriterien festlegen
Legen Sie fest, was die Bewertung umfasst, wer sie verantwortet und nach welchen Kriterien Sie Risiken beurteilen. Kriterien, die vor der Bewertung feststehen, halten auch dann stand, wenn das Ergebnis unbequem wird.
Risiken erkennen
Sie können von Assets, Bedrohungen und Schwachstellen ausgehen, von den Ereignissen, die Ihnen schaden würden, oder von beidem. ISO 27005 unterstützt beide Ansätze und schreibt keinen davon vor.
Analyse and evaluate
Bewerten Sie Auswirkung und Eintrittswahrscheinlichkeit. Vergleichen Sie anschließend jedes Risiko mit Ihren Kriterien und entscheiden Sie, welche Risiken zu behandeln sind. Dieser Vergleich ist der Punkt, an dem die Entscheidung fällt. Er gehört in den Nachweis.
Behandeln, akzeptieren und überwachen
Wählen Sie eine Maßnahme, benennen Sie einen Verantwortlichen und halten Sie fest, welches Restrisiko akzeptiert wurde und von wem. Pflegen Sie das Risikoregister anschließend laufend. Eine Risikobewertung mit festem Datum ist nur noch ein historisches Dokument.