Klas­si­fi­zie­rung von Infor­ma­tio­nen nach ISO 27001 — schnel­le Umsetzung

Unter­neh­men, die sich nach ISO 27001 zer­ti­fi­zie­ren, oder ein ISMS nach 27001 auf­bau­en möch­ten, haben die Her­aus­for­de­run­gen die Maß­nah­men der Klas­si­fi­zie­rung von Infor­ma­tio­nen A.5.12 des Anhang A umzu­set­zen. Zusam­men­ge­fasst sind die­se Anfor­de­run­gen, dass:

1. Infor­ma­tio­nen ein ange­mes­se­nes Schutz­ni­veau ent­spre­chend Ihrer Wer­tig­keit erhalten;
2. Infor­ma­tio­nen gemäß exter­nen und inter­nen Anfor­de­run­gen klas­si­fi­ziert werden;
3. Infor­ma­tio­nen ent­spre­chend einem Klas­si­fi­zie­rungs­sche­ma gekenn­zeich­net werden;
4. es Ver­fah­ren für die Hand­ha­bung gemäß dem Klas­si­fi­zie­rungs­sche­ma gibt.

Refe­renz Eng­lisch: A.5.12 Clas­si­fi­ca­ti­on of infor­ma­ti­on, A.5.13 Label­ling of infor­ma­ti­on, A.5.10 Hand­ling of assets

Refe­renz Deutsch: A.5.12 Klas­si­fi­zie­rung von Infor­ma­tio­nen, A.5.13 Kenn­zeich­nung von Infor­ma­tio­nen, A.5.10 Zuläs­si­ger Gebrauch von Infor­ma­tio­nen und ande­ren damit ver­bun­de­nen Infor­ma­tio­nen.

Die Klas­si­fi­zie­rung von Informationen

Die Ver­gan­gen­heit hat uns gezeigt, dass das klas­si­sche Klas­si­fi­zie­rungs­sche­ma „Öffent­lich“, „Intern“, „Ver­trau­lich“ und „Streng Ver­trau­lich“ in der Pra­xis schlecht funk­tio­niert, hier ein Über­blick über das Schema.

Die Schwä­chen des klas­si­schen Klas­si­fi­zie­rungs­sche­mas sind:

1. Mit­ar­bei­te­rIn­nen sind mit der Kenn­zeich­nung aller Doku­men­te über­for­dert, bei einem Audit fin­det der Audi­tor ton­nen­wei­se unge­kenn­zeich­ne­te „Inter­ne“ Informationen.
2. Mit­ar­bei­te­rIn­nen ver­ste­hen den Unter­schied zwi­schen „Öffent­lich“ und „Intern“ nicht.
3. Durch die Kenn­zeich­nung “Intern” wird signa­li­siert, dass eine Infor­ma­ti­on die­ser Schutz­klas­se nur inner­halb des Unter­neh­mens aus­ge­tauscht wer­den darf, was nicht stimmt.
4. Beson­ders flei­ßi­ge Mit­ar­bei­te­rIn­nen erken­nen in Ihren Arbeits­do­ku­men­ten schnell „Ver­trau­li­che“ oder sogar „Streng Ver­trau­li­che“ Infor­ma­tio­nen und ver­ur­sa­chen so hohen Auf­wand und hohe Kos­ten beim Informationshandling.

Anwen­dung einer Informationsklassifizierung

Das Ziel der fol­gen­den drei Kon­trol­len ist die Anfor­de­rung, dass Unter­neh­men ihren Infor­ma­tio­nen ein ange­mes­se­nes Schutz­ni­veau bie­ten müs­sen. Dabei ist zu berück­sich­ti­gen, dass unter­schied­li­che Infor­ma­tio­nen ver­schie­de­ne Wer­tig­kei­ten für das Unter­neh­men haben. So sind Mit­ar­bei­ter­da­ten, Kun­den­da­ten und Ent­wick­lungs­da­ten typi­scher­wei­se bes­ser zu schüt­zen als Produktinformationen.

Erklä­rung zu A.5.12 Klas­si­fi­zie­rung von Informationen

Mit der Maß­nah­me möch­te die Norm errei­chen, dass Infor­ma­tio­nen zu jeder Zeit klas­si­fi­ziert sind, wobei die Klas­si­fi­zie­rungs­stu­fe aus gesetz­li­chen Anfor­de­run­gen, der Anfor­de­rung von inter­es­sier­ten Par­tei­en oder dem Wert bzw. der Kri­ti­k­ali­tät gemäß der drei Schutz­zie­le Ver­trau­lich­keit, Inte­gri­tät, Ver­füg­bar­keit abge­lei­tet wer­den müssen.

Erklä­rung zu A.5.13 Kenn­zeich­nung von Informationen

Über die Kenn­zeich­nung von Infor­ma­tio­nen soll erreicht wer­den, dass Benut­ze­rIn­nen ein­fach erken­nen kön­nen wel­che Infor­ma­ti­ons­klas­si­fi­zie­rungs­stu­fe die jewei­li­gen Daten/Informationen tra­gen. Die­se Kenn­zeich­nung muss sowohl elek­tro­nisch gespei­cher­te Infor­ma­tio­nen abde­cken, als auch aus­ge­druck­te und archi­vier­te Informationen.

Erklä­rung zu A.5.10 Zuläs­si­ger Gebrauch von Infor­ma­tio­nen und ande­ren damit ver­bun­de­nen Werten

Zu der Kenn­zeich­nung der Infor­ma­tio­nen gemäß dem Infor­ma­ti­ons­klas­si­fi­zie­rungs­sche­ma benö­ti­gen die Benut­ze­rIn­nen ver­ständ­li­che Anwei­sun­gen für die Hand­ha­bung der Infor­ma­tio­nen. Hier hat sich eine Matrix bewährt mit den wich­tigs­ten Arten wie mit Infor­ma­tio­nen umge­gan­gen bzw. wo die­se gespei­chert wer­den können:

1. Wie ist zu kennzeichnen?
2. Wo dür­fen die Infor­ma­tio­nen gespei­chert wer­den? (am Cli­ent, auf wel­chen Servern)
3. Dür­fen die Infor­ma­tio­nen in der Cloud gespei­chert wer­den? (wenn ja, in wel­chen Clouds)
4. Ist die Spei­che­rung auf mobi­len Daten­trä­gern oder dem Smart­phone erlaubt?
5. Dür­fen Mit­ar­bei­ter klas­si­fi­zier­te Infor­ma­tio­nen per Email ver­sen­den, wenn ja mit wel­chen zusätz­li­chen Schutzmethoden?
6. An wen und mit wel­chen Vor­aus­set­zun­gen dür­fen klas­si­fi­zier­te Infor­ma­tio­nen wei­ter­ge­ge­ben wer­den? (sowohl elek­tro­nisch als auch in Papierform)
7. Dür­fen Infor­ma­tio­nen der ein­zel­nen Schutz­klas­sen phy­sisch ver­sandt wer­den? Wenn ja, mit wel­chen zusätz­li­chen Schutzmethoden?
8. Wie müs­sen Infor­ma­tio­nen ent­sorgt bzw. ver­nich­tet wer­den? Spe­zi­ell gilt das auch für Papier­do­ku­men­te und Speichermedien.

Alle die­se Punk­te kön­nen in eine Matrix zum zuläs­si­gen Umgang mit klas­si­fi­zier­ten Infor­ma­tio­nen zusam­men­ge­fasst wer­den. Wir emp­feh­len hier aus­sa­ge­kräf­ti­ge Pik­to­gram­me zu nut­zen und stel­len ger­ne die von SEC4YOU ent­wi­ckel­ten Gra­fi­ken zur Verfügung.

In der Zuord­nungs­ta­bel­le — Zuord­nung ISO/IEC 27001 zum IT-Grund­schutz vom deut­schen BSI fin­det man auf Sei­te 8 und 9 eine Refe­renz zum BSI-Stan­dard 200–2, Kapi­tel 5.1 Klas­si­fi­zie­rung von Infor­ma­tio­nen und Kapi­tel 8.2 Schutz­be­darfs­fest­stel­lung und IT-Grund­schutz Bau­stein ISMS.1.A10 Erstel­lung eines Sicherheitskonzepts:

Die­se Schutz­be­darfs­fest­stel­lung im BSI Stan­dard 200–2 ver­ein­facht das Klas­si­fi­zie­rungs­sche­ma deut­lich, indem es auf die Klas­sen „Öffent­lich“ und „Intern“ ver­zich­tet und statt­des­sen nur drei Kate­go­rien „nor­mal“ sowie „hoch“ und „sehr hoch“ empfiehlt.

Fol­gen­de Vor­tei­le erge­ben sich aus den BSI Kategorien:

1. Die oft fal­sche Nut­zung der Klas­si­fi­zie­rung „Intern“ entfällt.
2. Die weni­gen Infor­ma­tio­nen die tat­säch­lich „Öffent­lich“ sind wer­den nicht berück­sich­tigt und ver­ein­fa­chen die Richtlinie.
3. Durch die Nen­nung von kata­stro­pha­lem Aus­maß bei der Kate­go­rie „sehr hoch“ gibt es in der Regel nur weni­ge Infor­ma­ti­ons­wer­te die­ser Schutz­ka­te­go­rie. Dies senkt Kos­ten für teu­re tech­ni­sche Maßnahmen.

Die Kenn­zeich­nung von Informationen

Spe­zi­ell bei dem klas­si­sche Klas­si­fi­zie­rungs­sche­ma mit „Öffent­lich“, „Intern“, „Ver­trau­lich“ und „Streng Ver­trau­lich“ ist die Kenn­zeich­nung aller vier Kate­go­rien eine sehr auf­wen­di­ge Auf­ga­be, spe­zi­ell da Infor­ma­tio­nen oft auch in Nicht-Office Doku­men­ten z.B. Gra­fi­ken, Text­da­tei­en, Daten­ban­ken gespei­chert werden.

Bei­spiel einer Richt­li­nie für die Kenn­zeich­nung von Informationen:

Die SEC4YOU Emp­feh­lung für ISO 27001 und TISAX®

Durch die SEC4YOU Emp­feh­lung, die auf dem BSI Stan­dard 200–2 auf­baut, kann die die­se Richt­li­nie deut­lich ein­fa­cher for­mu­liert werden:

In den letz­ten Jah­ren hat sich das Traf­fic Light Pro­to­koll (TLP) der FIRST.org als Kenn­zeich­nung für Infor­ma­tio­nen durch­ge­setzt. Hier­zu wur­den vier TLP Labels defi­niert: TLP:RED, TLP:AMBER, TLP:GREEN, and TLP:CLEAR

Die Kenn­zeich­nun­gen nach TLP 2.0 eig­nen sich her­vor­ra­gend für ein gemein­sa­mes Ver­ständ­nis bezüg­lich der erlaub­ten Wei­ter­ga­be der gekenn­zeich­ne­ten Infor­ma­tio­nen inner­halb von Orga­ni­sa­ti­on, aber auch mit exter­nen Kom­mu­ni­ka­ti­ons­part­ner wie Kun­den und Lieferanten.

Ein TLP 2.0 Ein­satz für die vier Schutz­klas­sen eines moder­nen ISMS  ist jedoch nur ein­ge­schränkt mög­lich, da:

• TLP:GREEN nicht exakt zu der Schutz­klas­se “INTERN” bzw. “RESTRICTED”  passt.
• TLP:RED die Anfor­de­run­gen der Schutz­klas­sen “CONFIDENTIAL” und “STRICTLY CONFIDENTIAL” nicht gleich­zei­tig erfüllt.

Daher emp­feh­len wir zusätz­lich TLP:AMBER+STRICT für “CONFIDENTIAL” zu nut­zen, jedoch mit der Ver­pflich­tung, dass exter­ne Emp­fän­ger die­se Infor­ma­ti­on nur inner­halb der eige­nen Orga­ni­sa­ti­on wei­ter­ge­ben dürfen.

Ein Bei­spiel für “CONFIDENTIAL — TLP:AMBER+STRICT” ist eine tech­ni­sche Kon­struk­ti­ons­zeich­nung, die an einen Ansprech­part­ner eines Lie­fe­ran­ten mit Fir­men NDA wei­ter­ge­be­nen wird. Die­ser Ansprech­part­ner darf die Zeich­nung jedoch nur inner­halb des eige­nen Unter­neh­mens zur Erfül­lung des Auf­tra­ges weitergeben.

Ein Bei­spiel für “STRICTLY CONFIDENTIAL — TLP:RED” hin­ge­gen ist ein hoch­sen­si­bler Über­nah­me­ver­trag der mit einer Per­son eines Wirt­schafts­prü­fers geteilt wird. Die Per­son hat einen per­sön­li­chen NDA unter­schrie­ben. Die­se Per­son darf ohne Ein­wil­li­gung des Auf­trag­ge­bers den hoch­sen­si­blen Ver­trag nicht mit wei­te­ren Mit­ar­bei­te­rIn­nen des eige­nen Unter­neh­mens teilen.

SEC4YOU emp­fiehlt dafür das fol­gen­de TLP 2.0 Schema:

Geeig­ne­te Klas­si­fi­zie­rung von Infor­ma­ti­ons­wer­ten für eine TISAX Zertifizierung

Wie man in der Gra­fik erken­nen kann, ist die BSI Emp­feh­lung ident mit der VDA ISA Emp­feh­lung für die Infor­ma­ti­ons­si­cher­heit in der Auto­mo­bil­bran­che. Der Ver­band der Auto­mo­bil­in­dus­trie (VDA) bie­tet im Doku­ment Har­mo­ni­sie­rung der Klas­si­fi­zie­rungs­stu­fen, abhän­gig vom poten­zi­el­len Scha­den, für Unter­neh­men fol­gen­de all­ge­mei­ne Schutz­klas­sen: „nor­mal“, „hoch“ und „sehr hoch“. Auto­mo­bil­zu­lie­fe­rer, die eine TISAX Zer­ti­fi­zie­run­gen anstre­ben, sind gut bera­ten die BSI = VDA ISA Schutz­klas­sen einzuführen.

Wich­tig bei der Umset­zung der ISO 27001 ist jedoch bei den Klas­si­fi­zie­run­gen „Ver­trau­lich“ sowie „Streng Ver­trau­lich“ (oder nach BSI „hoch“ sowie „sehr hoch“) eine Kenn­zeich­nung aller klas­si­fi­zier­ten Doku­men­te. Dies kann mit fol­gen­den Maß­nah­men erreicht werden:

• Schu­len Sie Ihre Mit­ar­bei­te­rIn­nen bezüg­lich der Erstel­lung von ver­trau­li­chen Dokumenten.
• Spe­zi­el­len gekenn­zeich­ne­ten Berei­chen im Intra­net mit strik­ter Benutzereinschränkung
• Word, Excel und Power­Point Vor­la­gen für ver­trau­li­che und streng ver­trau­li­che Daten (bzw. „hoch“ und „sehr hoch“) auf der die Klas­si­fi­zie­rung auf jeder Doku­men­ten­sei­te deut­lich sicht­bar ist.
• Bei der Klas­se „streng ver­trau­lich“ bzw. BSI „sehr hoch“ müs­sen die erlaub­ten Emp­fän­ger am Anfang des Doku­men­tes auf­ge­lis­tet sein.

Nut­zung der Micro­soft 365 Sen­si­ti­vi­ty Labels für Doku­ment und E‑Mail

Die Micro­soft 365 Sen­si­ti­vi­ty Labels sind Teil von Micro­soft Pur­view und erlau­ben eine effi­zi­en­te Kenn­zeich­nung von Word, Excel und Power­Point Doku­men­ten, sowie E‑Mail mit Out­look. Sie wer­den sowohl von den Desk­top Apps als auch von den Web-Apps auf Win­dows, macOS, iOS und Android unter­stützt. Bit­te prü­fen Sie Ihre M365 Lizenz, ob Pur­view mit den Sen­si­ti­vi­ty Labels für Sie ein­setz­bar ist.

Bei den Sen­si­ti­vi­ty Labels han­delt es sich um eine inter­ne Kenn­zeich­nung der Doku­men­te, die für exter­ne Emp­fän­ger nicht sicht­bar ist. Nur die oben ange­führ­ten Doku­ment­ty­pen und E‑Mail selbst kön­nen so gekenn­zeich­net wer­den, wobei es nach der Akti­vie­rung der Sen­si­ti­vi­ty Labels immer einen Stan­dard­wert für neue Doku­men­te und E‑Mail gibt.

Wir emp­feh­len die Sen­si­ti­vi­ty Labels ent­spre­chend der Klas­si­fi­zie­rungs­schutz­klas­sen zu benen­nen: PUBLIC TLP-CLEAR, RESTRICTED TLP-AMBER, CONFIDENTIAL TLP-AMBER-STRICT, STRICTLY CONFIDENTIAL TLP-RED. Die Micro­soft Labels unter­stüt­zen eine Far­be die in dem Schild neben dem Label­na­men visua­li­siert wird. Lei­der unter­stüt­zen Sen­si­ti­vi­ty Labels kei­ne Son­der­zei­chen wie : oder +, somit konn­ten wir die TLP 2.0 Kon­ven­tio­nen nicht exakt umset­zen und aus TLP:AMBER+STRICT wur­de bei­spiels­wei­se TLP-AMBER-STRICT.

Bei teu­re­ren Micro­soft Abos kön­nen die Sen­si­ti­vi­ty Labels um Ver­schlüs­se­lung und DLP Ein­schrän­kun­gen erwei­tert wer­den. Aber Ach­tung, Ihren exter­nen Kom­mu­ni­ka­ti­ons­part­ner wird es nicht unbe­dingt gefal­len, wenn Sie E‑Mails nicht mehr wei­ter­lei­ten kön­nen, die­se sich nach einer defi­nier­ten Zeit auto­ma­tisch löschen, Doku­men­te sich nicht dru­cken las­sen, oder Tex­te noch aus Doku­men­ten kopiert wer­den können.

Kenn­zeich­nung von inter­nen und exter­nen E‑Mails

Bei der Kenn­zeich­nung von E‑Mails kön­nen Sie ange­pass­te Signa­tu­ren nut­zen. Hier ein Bei­spiel einer Signa­tur mit dem Label CONFIDENTIAL TLP:AMBER.

Sie kön­nen ent­we­der einen eige­nen Link zur Erklä­rung der Labels benen­nen, oder direkt auf den TLP Stan­dard ver­wei­se. Wir haben uns ent­schlos­sen auf eine eige­ne Erklä­rung auf unse­rer Web­sei­te in drei Spra­chen zu ver­lin­ken:  https://www.sec4you.com/classification/

Die E‑Mail-Signa­tur lässt sich her­vor­ra­gen­de for­ma­tie­ren, somit gelingt auch die exak­te Dar­stel­lung der TLP 2.0 Vor­ga­ben mit schwar­zem Hin­ter­grund und dem rich­ti­gen RGB Farb­code. Stel­len Sie die Stan­dard-Signa­tur auf RESTRICTED TLP:AMBER ein und las­sen Sie die Benut­ze­rIn­nen je nach Sen­si­bi­li­tät der Infor­ma­tio­nen eine ande­re Signa­tur z.B. für CONFIDENTIAL TLP:AMBER+STRICT aus­wäh­len. Der Ein­satz einer E‑Mail Dis­clai­mer Lösung kann hier noch wei­te­re Vor­tei­le bringen.

Geeig­ne­te Klas­si­fi­zie­rung für NIS2

Die NIS2 EU-Richt­li­nie 2022/2555 sowie das Netz- und Infor­ma­ti­ons­sys­tem­si­cher­heits­ge­setz NISG 2024 for­dert die Umset­zung eines Risi­ko­ma­nage­ments für Unter­neh­mens­wer­te, hier­zu zäh­len nach gän­gi­ger Pra­xis auch die Klas­si­fi­zie­rung von Infor­ma­tio­nen.

Wie emp­feh­len allen NIS2 betrof­fe­nen Unter­neh­men die Umset­zung eines ISMS nach ISO 27001:2022 in Anleh­nung an die Emp­feh­lun­gen der ISO 27002. Dies umfasst voll­um­fäng­lich die ISO 27001 Con­trols A.5.10, A.5.12 und A.5.13.

Die Hand­ha­bung von Werten

Die ISO 27001 ist ver­gleichs­wei­se unkon­kret bei der Hand­ha­bung von Infor­ma­ti­ons­wer­ten, sie for­dert jedoch:

„Es soll­ten Regeln für die zuläs­si­ge Nut­zung und Ver­fah­ren für den Umgang mit Infor­ma­tio­nen und ande­ren zuge­hö­ri­gen Ver­mö­gens­wer­ten fest­ge­legt, doku­men­tiert und umge­setzt werden.“

In der Pra­xis wer­den von Unter­neh­men Richt­li­ni­en für die fol­gen­den Hand­ha­bungs­me­tho­den doku­men­tiert und die Mit­ar­bei­ter dar­in geschult:

1. Kenn­zeich­nung
2. Spei­che­rung
3. Spei­che­rung in der Cloud
4. Nut­zung von mobi­len Gerä­ten und Datenträgern
5. Email­nut­zung
6. Wei­ter­ga­be
7. Phy­si­scher Versand
8. Daten­ver­nich­tung

Hier ein Bei­spiel einer Richt­li­nie für die Hand­ha­bung von Infor­ma­ti­ons­wer­ten im klas­si­schen Klassifizierungsschema:

Über­sicht­li­cher ist die Hand­ha­bung für Benut­zer beim Ein­satz einer eige­nen Klas­si­fi­zie­rung “RESTRICTED” (auf Deutsch “EINGESCHRÄNKT”) und der BSI/TISAX® Schutzklassen:

In unse­rem ISMS Blog: ISO 27001 — VDA ISA / TISAX fin­den Sie die ver­wen­de­ten Pik­to­gram­me zur frei­en Ver­wen­dung sowie wei­te­re Tipps für Ihr ISMS.

Bei Fra­gen ste­hen wir über unser Kon­takt­for­mu­lar ger­ne jeder­zeit zur Verfügung.

Wei­te­re Bei­trä­ge aus dem ISMS Blog

In der Infor­ma­ti­ons­si­cher­heit sind KPIs beson­ders wich­tig, um Risi­ken zu erken­nen, Sicher­heits­maß­nah­men zu bewer­ten und Com­pli­ance-Anfor­de­run­gen ein­zu­hal­ten. Die fol­gen­den 7 KPIs emp­feh­len für den Start eines ISMS nach ISO 27001, TISAX®, DORA oder NIS2.

Jedes Unter­neh­men soll­te auf­grund der rasant stei­gen­den Gefah­ren für einen IT-Betrieb die rele­van­ten IT-Gefähr­dun­gen in Bezug auf die Infor­ma­ti­ons­si­cher­heit erhe­ben und bewer­ten. Jedoch ist die Aus­wahl der Gefähr­dun­gen (Thre­ats) für die pri­mä­ren Info­Sec Schutz­zie­le Ver­trau­lich­keit, Inte­gri­tät und Ver­füg­ba­reit sehr auf­wen­dig, weil es spe­zi­ell für klei­ne und mit­tel­stän­di­sche Unter­neh­men kei­ne ein­fa­chen Bedro­hungs­lis­ten gibt. Die­ser Auf­ga­be hat sich SEC4YOU ange­nom­men und die SEC4YOU Infor­ma­ti­ons­si­cher­heits-Bedro­hungs­lis­te 2024 erstellt.

Im Zuge der NIS2 Über­ar­bei­tung der SEC4YOU ISMS Richt­li­ni­en haben wir auch die belieb­ten Pik­to­gram­me bezüg­lich der zuläs­si­gen Ver­wen­dung klas­si­fi­zier­ter Infor­ma­ti­ons­wer­te über­ar­bei­tet und stel­len die­se ger­ne kos­ten­frei zur Verfügung.

Unter­neh­men, die ein ISMS nach 27001 auf­bau­en möch­ten, müs­sen die Klas­si­fi­zie­rung von Infor­ma­tio­nen gemäß A.5.12 des Anhang A umzu­set­zen. In die­sem Arti­kel zei­gen wir den bewähr­ten SEC4YOU Ansatz.

Seit vie­len Jah­ren nut­zen wir bei unse­ren ISMS Pro­jek­ten, sowohl ISO 27001:2013, als auch ISO 27001:2022 und beim Auf­bau eines ISMS nach VDA ISA für TISAX Zer­ti­fi­zie­run­gen sowie zukünf­tig DORA und NIS2 ein selbst ent­wi­ckel­tes ISMS-Tool auf Basis von Micro­soft Excel. Das Tool deckt alle tabel­la­ri­schen Doku­men­ta­tio­nen eines Infor­ma­ti­ons­si­cher­heits-Manage­ment­sys­tems ab und erfor­dert kei­ne Daten­bank. Wir stel­len unser Tool vor.

Alle Unter­neh­men, die eine ISO 27001 Zer­ti­fi­zie­rung anstre­ben, möch­ten wir ger­ne wert­vol­le Tipps für die Umset­zung geben. Die Norm ISO 27001 beschreibt die Anfor­de­run­gen eines Infor­ma­ti­ons­si­cher­heits-Manage­ment­sys­tems (ISMS) zu dem auch gehört, dass es einen Ver­ant­wort­li­chen für die Infor­ma­ti­ons­si­cher­heit gibt. Die­ser Ver­ant­wort­li­che wird oft Infor­ma­ti­ons­si­cher­heits­be­auf­trag­ter oder Chief-Infor­ma­ti­on-Secu­ri­ty-Offi­cer (CISO) genannt. Die erar­bei­te­ten Pra­xis­tipps stam­men aus unse­ren Erfah­run­gen von 27001 Zer­ti­fi­zie­run­gen der ver­gan­gen Jah­re, die SEC4YOU beglei­ten durf­te. Die Tipps sol­len spe­zi­ell klei­ne­ren Unter­neh­men hel­fen, mög­lichst schnell und kos­ten­ef­fi­zi­ent eine ISO 27001 Zer­ti­fi­zie­rung zu erlangen.

Anläss­lich des SEC4YOU Anwen­der­tref­fens im Juni 2021 haben wir […]

“Schred­der Sicher­heits­stu­fe P5 — Akten­ver­nich­ter” — für Ihr ISMS stellen […]

“Schred­der mit Kon­trol­le — Akten­ver­nich­ter” — für Ihr ISMS stellen […]

“Schred­der — Akten­ver­nich­ter” — für Ihr ISMS stel­len wir gerne […]

“Mobi­le End­ge­rä­te Wech­sel­da­ten­trä­ger ver­schlüs­selt” — für Ihr ISMS stel­len wir […]

“Mobi­le End­ge­rä­te Wech­sel­da­ten­trä­ger” — für Ihr ISMS stel­len wir gerne […]

“Lie­fe­rung ver­schlüs­selt oder ver­sperrt mit Kon­trol­le” — für Ihr ISMS […]

“Lie­fe­rung” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie […]

“Kenn­zeich­nung Inter­nal” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Kenn­zeich­nung Inter­nal” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Kenn­zeich­nung” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie […]

“Ent­sor­gung mit Kon­trol­le” — “Kon­trol­lier­te Ent­sor­gung” — “Ent­sor­gung mit Nachweis” […]

“Ent­sor­gung geschützt und ver­schlos­sen” — für Ihr ISMS stel­len wir […]

“Ent­sor­gung geschützt” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Ent­sor­gung” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie […]

“Email Ver­schlüs­se­lung und Kon­trol­le” — für Ihr ISMS stel­len wir […]

“Email Ver­schlüs­se­lung” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Email Trans­port Ver­schlüs­se­lung” — für Ihr ISMS stel­len wir gerne […]

“Email Kon­trol­le” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Email Emp­fän­ger Prü­fung” — für Ihr ISMS stel­len wir gerne […]

“Zwei-Fak­to­ren Authen­ti­sie­rung — 2FA” — für Ihr ISMS stel­len wir […]

“Wei­ter­ga­be­kon­trol­le Auto­ri­sie­rung Data-Owner” — für Ihr ISMS stel­len wir gerne […]

“Wei­ter­ga­be­kon­trol­le Auto­ri­sie­rung Daten-Ein­gen­tü­mer” — für Ihr ISMS stel­len wir gerne […]

“Ver­trau­lich­keits­ver­ein­ba­rung — NDA per­sön­lich” — für Ihr ISMS stel­len wir […]

“Ver­trau­lich­keits­ver­ein­ba­rung — NDA mit Fir­ma” — für Ihr ISMS stellen […]

“Ver­trau­lich­keits­ver­ein­ba­rung — NDA” — für Ihr ISMS stel­len wir gerne […]

“Ver­bo­ten” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie […]

“Cloud ver­bo­ten” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Cloud Kon­trol­le” oder “kon­trol­lier­te Cloud” — für Ihr ISMS stellen […]

“Cloud erlaubt mit 2FA” — für Ihr ISMS stel­len wir […]

“Cloud erlaubt” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Cloud mit 2FA” — für Ihr ISMS stel­len wir gerne […]

“Spei­che­rung Ser­ver ver­schlüs­selt mit 2FA” — für Ihr ISMS stellen […]

“Cloud” — für Ihr ISMS stel­len wir ger­ne unse­re kostenfreie […]

“Spei­che­rung Ser­ver” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Spei­che­rung Note­book ver­schlüs­selt — Ser­ver unver­schlüs­selt mit 2FA” — für […]

“Spei­che­rung Note­book ver­schlüs­selt — Ser­ver ver­schlüs­selt” — für Ihr ISMS […]

“Spei­che­rung Note­book ver­schlüs­selt — Ser­ver unver­schlüs­selt” — für Ihr ISMS […]

“Erlaub­te Ver­ar­bei­tung” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Kenn­zeich­nung Intern” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Kenn­zeich­nung Ein­ge­schränkt” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Kenn­zeich­nung sehr hoch” — für Ihr ISMS stel­len wir gerne […]

“Kenn­zeich­nung hoch” — für Ihr ISMS stel­len wir ger­ne unsere […]

Kenn­zeich­nung “Con­fi­den­ti­al” — für Ihr ISMS stel­len wir ger­ne unsere […]

“Ohne Kenn­zeich­nung” — “ohne Klas­si­fi­zie­rung” — für Ihr ISMS stellen […]

Kenn­zeich­nung “Streng Ver­trau­lich” — für Ihr ISMS stel­len wir gerne […]

Orga­niza­ti­ons that wish to cer­ti­fy to ISO/IEC 27001, or […]

Kenn­zei­chung “Ver­trau­lich” — für Ihr ISMS stel­len wir ger­ne unsere […]

Das Netz- und Infor­ma­ti­ons­sys­tem­si­cher­heits­ge­setz — NISG (sie­he Ver­öf­fent­li­chung) betrifft […]

Mit der ISO 27001 erhal­ten Unter­neh­men die Mög­lich­keit Ihre […]