ISO 27001 – Kapitel 4
Das vierte Kapitel der ISO 27001er Norm dreht sich um den Kontext der Organisation. Als Kontext der Organisation werden sowohl interne als auch externe Themen interpretiert, die eine Relevanz für das Unternehmen darstellen. Die Relevanz muss vor allem in Bezug auf Informationssicherheits-Ziele vorhanden sein. Dieser allgemeine Kontext wird unter dem Kapitel 4.1 aufgeführt und durch Kapitel 4.2 weiter konkretisiert.
In Kapitel 4.2 der ISO 27001 sollen Erfordernisse und Erwartungen interessierter Parteien zusammen gefasst werden. Zunächst sollen im Rahmen des ISMS alle relevanten Parteien ermittelt werden. Diese können bspw. aus Mitbewerbern, der Stadt, oder den eigenen Mitarbeitern bestehen. Im nächsten Schritt sollen zu den relevanten Parteien die Anforderungen in Bezug zur Informationssicherheit aufgeführt werden.
Solche Anforderungen können vertragliche Verpflichtungen sein sowie gesetzliche oder regulatorische Vorgaben. In dem letzten Punkt des Kapitel 4 der ISO 27001 muss der Anwendungsbereich des ISMS bestimmt werden. Zu diesem Punkt 4.3 sind dokumentierte Informationen erforderlich, um die Zertifizierung zu bekommen. Alle vorherigen Kapitel bzw. Unterpunkte sind Empfehlungen, aber keine Verpflichtung im Rahmen der Zertifizierung.
Kapitel 4.3 muss Grenzen des Anwendungsbereiches bestimmen, in denen das ISMS eingesetzt werden soll. Dazu können Standorte, Verbundteile, aber auch allgemein Verfahren zählen. Zu diesen Einsatzzielen müssen Kontext, Parteien und Anforderungen berücksichtigt werden, die in den vorherigen Kapiteln bestimmt worden sind. Ein sehr wichtiger Bestandteil des Kapitel 4.3 ist die Schnittstelle zu Externen. Diese Schnittstelle muss im Rahmen einer ISO 27001 Zertifizierung beschrieben und dokumentiert sein.
ISO 27001 – Kapitel 5
Das fünfte Kapitel der ISO 27001er Norm dreht sich um die Führung. In dem Unterkapitel 5.1 sind mehrere Aspekte aufgeführt, die zu der Kategorie Führung und Verpflichtung der Leitung gehören. Neben der Festlegung von IS-Politik und IS-Zielen sollen vor allem Ressourcen bereitgestellt werden und die Bedeutung des ISMS vermittelt werden. Die weiteren Aspekte, die in diesem Unterpunkt spielen im weitesten Sinne darauf an, dass die Führung häufig die Geschäftsführung bzw. der Vorstand das Team rund um den ISB unterstützen.
Das nächste Unterkapitel 5.2 steht unter dem Aspekt der Politik. Hier sind dokumentierte Informationen erforderlich, die Ziele aufnehmen und die Selbstverpflichtung der Leitung festzuhalten. Ein wichtiger Punkt ist ebenfalls, dass die Politik bzw. die hier festgehaltenen Aspekte intern und ggf. extern verfügbar gemacht werden.
Das letzte Unterkapitel in dem Kapitel der Führung ist Kapitel 5.3 mit der Überschrift Rollen, Verantwortlichkeiten und Befugnisse in der Organisation (ISMS). Diese unterschiedlichen Aspekte müssen auf die verschiedenen Teilnehmer verteilt und bekannt gemacht werden. Neben dieser Verteilung ist ein Berichtswesen wichtig und dementsprechend ist eine feste Struktur im Bereich von Berichterstattungen und Abläufen sinnvoll.
