Im Februar wurde ein wesentlicher Standard zu Informationssicherheit veröffentlicht: Die lange erwartete ISO/IEC 27002 widmet sich dem Thema Cybersecurity und Informationssicherheit und wird langfristig einige Veränderungen – nicht nur in der IT-Branche – nach sich ziehen. 

Die ISO/IEC 27002 „Information security, cybersecurity and privacy protection – Information security controls“ ist nach der ISO/IEC 27001 die zweitwichtigste Norm, wenn es darum geht, ein Information Security Management System in einem Unternehmen einzuführen. Laut Edward Humphreys, Leiter des ISO-Komitees, wird die neue Ausgabe „Organisationen und Unternehmen maßgeblich dabei unterstützen, ihre Informationen und die ihrer Klienten und Kunden vor einer Vielzahl von Bedrohungen zu schützen“. Gerade vor dem Hintergrund der jüngsten Entwicklungen in der Weltpolitik eine sinnvolle Weiterentwicklung.

Der österreichische Leiter der CEN/CENELEC-Arbeitsgruppe im zuständigen Joint Technical Committee, Ralph Eckmaier, entdeckt im neuen Standard neben strukturellen Änderungen auch die Berücksichtigung von „Themen, die in den letzten Jahren aufgekommen sind oder an Bedeutung gewonnen haben. Zu diesen Themen zählen Herausforderungen wie IT-Cloud Services, Secure Coding, der sensiblere Umgang mit persönlichen Daten oder der Einsatz von evidenzbasierten Informationen zu Cyberangriffen, der als ‚Threat Intelligence‘ zusammengefasst wird“. 

Erreicht wird dieser inhaltliche Schwenk auch durch die neue Strukturierung der sogenannten „Controls“. Maßnahmen, die in der Welt der ISO/IEC 27002 dazu dienen, technische und organisatorische Schritte zu definieren, mit deren Hilfe bestehende IT- und Informationssicherheitsrisiken von Unternehmen behandelt werden können.

Diese neuen Controls haben einen großen Einfluss. Zwar nicht sofort – aber in den kommenden Jahren. Denn die in den Controls beschriebenen Maßnahmen werden sich langfristig auch auf die Zertifizierungen nach dem Schwesternstandard ISO/IEC 27001 auswirken. Ein Standard, der nach Schätzungen von Eckmaier „in etwa 1.000 Unternehmen in Österreich“ verwendet wird. 

Befragt nach den direkten Auswirkungen, sieht Eckmaier ein differenziertes Bild: „Für Organisationen, die bereits die Anforderungen von ISO/IEC 27001 erfüllen, wird der Aufwand der Umstellung auf die neue ISO/IEC 27002 gering sein. Organisationen, bei denen die bisherige ISO/IEC 27002 beispielsweise für interne und externe Service-Level-Vereinbarungen oder zur Dokumentation von technisch-organisatorischen Maßnahmen gedient hat, wird der Aufwand höher werden.“

Bewertungsgrundlage für den Schutz von Informationssicherheits-Managementsystemen

Thomas Bleier (Bild oben), der in der Arbeitsgruppe AG 001 27 „Information security, cybersecurity and privacy protection“ bei Austrian Standards als Experte mitwirkt, ergänzt: „Die aktualisierte Version der Sicherheitsmaßnahmen stellt auch die Grundlage für den ,Anhang A‘ der zukünftigen ISO/IEC 27001 dar. Obwohl es im Standard nicht explizit gefordert wird, übernehmen viele Organisationen in der Praxis ihre Controls aus dem Anhang A. Da die neue Version der ISO 27001 möglicherweise noch in diesem Jahr erscheint und dann Übergangsfristen für zertifizierte Unternehmen für den Umstieg vorgesehen sind, ist man gut beraten, sich bereits jetzt mit den Änderungen auseinanderzusetzen.“

Insgesamt weist der neue Standard 93 solcher Controls auf – unterteilt in organisatorische, personelle, physische und technologische. Behandelt werden dabei beispielsweise die „Vermeidung bzw. Entdeckung von Cyberangriffen“ und die Reaktion darauf sowie der Schutz von Daten. Konkret kommen 11 ganz neue Maßnahmen hinzu, die von „Information security for use of cloud services“ (also: die ganzheitliche Betrachtung von Cloud-Diensten von der Einführung bis zur Exit-Strategie) bis zu „Data masking“ (Maskierungstechniken wie Anonymisierung und Pseudonymisierung, die den Schutz von Daten erhöhen) reichen.

Die Maßnahmen können Organisationen auch zu einer neuen Betrachtungsweise verschiedener Problemstellungen führen: Die Organisation muss sich nun etwa aktiv darum kümmern, Angreifer und ihre Methoden zu verstehen und vor dem Hintergrund der eigenen IT-Landschaft zu analysieren, oder ihre Cloud-Aktivitäten von der Einführung über den Betrieb bis hin zur Exit-Strategie zu betrachten. 

Fazit
Eine Umstellung kommt auf alle Unternehmen zu, die sich mit Informationssicherheit beschäftigen. Besonders betroffen: IT-Unternehmen. Neben diversen Weiterentwicklungen passt sich der Standard inhaltlich an die aktuellen und zukünftigen Herausforderungen im Bereich Informationssicherheit und Cybersecurity an. Nomen ist dabei omen: statt „Security Techniques“ werden nun „cyber security, privacy protection und informationsecurity“ explizit im Titel angesprochen.