Was ist die DIN ISO/IEC 27001:2015?

20th July 2017

Ensuring security: DIN ISO/IEC 27001:2015 is the leading international standard for information security management systems. It applies for companies and other organisations and defines the most important rules that ensure that data and IT processes are protected as well as possible. In a short interview, Uwe Spindler from TÜV NORD explains the sectors where the standard is particularly important and why the standard is absolutely essential nowadays.

#explore: What is DIN ISO/IEC 27001:2015?

Uwe Spindler: DIN standard ISO/IEC 27001 concerns standardisation of information management systems. The aim of the standard is to ensure and safeguard the confidentiality, integrity and availability of information. In principle the standard can be used for all types of organisations in all sectors, but of course there are areas of particular relevance such as banking, telecommunications and IT, where information security – which does not only mean IT security, but refers to all information needing protection – plays a major role.

And, alongside the ‘basic standard’, 27001, there is an entire 27000 family, containing further supporting and sector-specific standards and also technical reports which deal with additional requirements and recommendations. This area of standardisation is developing all the time – current themes include the Cloud, network security, telecommunications and many more.

#explore: Warum ist das Regelwerk aktuell so relevant?

Uwe Spindler: Informationstechnik gewinnt für alle Unternehmen immer mehr an Bedeutung. Die Themen Digitalisierung, Vernetzung und Globalisierung sind dabei zentrale Stichworte. Vor diesem Hintergrund wächst zugleich die Cyberkriminalität, die mit gezielten Attacken zeitweise ganze Unternehmen außer Betrieb setzen kann – wie zum Beispiel zuletzt der weltweite WannaCry-Angriff gezeigt hat. Die vorbeugende Einführung eines Informationsmanagementsystems ist dabei ein wirksamer Schutz, um potenzielle Sicherheitsschwachstellen im Unternehmen zu schließen. Gerade vernetzte Unternehmen, die zum Beispiel weltweit Niederlassungen haben und auf sehr große Datennetzwerke zurückgreifen, sind sehr anfällig für Angriffe von außen.

Die Zertifizierung nach ISO 27001 ist ein Wettbewerbsvorteil für diese Unternehmen: Sie können so gegenüber Kunden und Partnern glaubhaft darlegen, dass sie mit sensiblen Informationen vertrauenswürdig und seriös umgehen.

#explore: Worauf achten Sie bei der Zertifizierung?

Uwe Spindler: Wir überprüfen, ob die Unternehmen die umfangreichen Anforderungen an Informationssicherheitsmanagementsysteme effektiv umgesetzt haben. Denn für die Zertifizierung müssen die Betriebe auf der einen Seite ein Managementsystem auf Basis der sogenannten High Level Structure betreiben – vergleichbar zum Beispiel mit ISO 9001 – und auf der anderen Seite alle relevanten Maßnahmen zum Schutz von Informationen berücksichtigen. Der Anhang A der ISO 27001 enthält 114 solcher Maßnahmen. Durch die Einführung eines einheitlichen Rahmens – der High Level Structure – können verschiedene Managementsysteme miteinander kombiniert und gemeinsam als integriertes Managementsystem betrieben werden.