ISO/27000
topic - Kurzbeschreibung
Beschreibung
Die ISO/IEC 27000-Reihe (auch ISO/IEC 27000-Familie oder im Englischen kurz auch ISO27k genannt) ist eine Reihe von Standards zur Informationssicherheit, die von der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) herausgegeben werden.
Der Fokus dieser Reihe liegt auf Best-Practice-Empfehlungen zur Organisation der Informationssicherheit im Kontext eines Information Security Management Systems (ISMS).
Diese ISO/IEC Standards unterliegen häufigen Änderungen und werden in verschiedenen Sprachen wie Englisch, Deutsch oder Chinesisch aufgelegt.
Ausbildung und Zertifizierung
Auf der Ebene einer Organisation kann das Information Security Management System gegen den normativen Teil ISO/IEC 27001 geprüft und zertifiziert werden. Für Personen existieren verschiedene Schemata zur Ausbildung und Zertifizierung. Diese werden von unterschiedlichen Zertifizierungsunternehmen gestaltet, siehe Liste der IT-Zertifikate.
Anhang
Siehe auch
Dokumentation
RFC
Man-Pages
Info-Pages
Links
Einzelnachweise
Projekt
Weblinks
- Offizielle Seite der Veröffentlichung der ISO/IEC 27001:2013 (englisch)
- ISO 27000 security: Detaillierte Beschreibungen zu den ISO/IEC 27000-Standards und anderen IT-Sicherheitsstandards.
TMP
Historische Entwicklung
Im Rahmen der Standardisierung wurde in der Zusammenarbeit von ISO und IEC beschlossen, verschiedene Standards zur Informationssicherheit unter dem Nummernkreis 2700x Information technology – Security techniques zusammenzufassen. Der deutsche Anteil an dieser Normungsarbeit wird vom DIN NIA-01-27 IT-Sicherheitsverfahren betreut. Für die Evaluierung und Zertifizierung von IT-Produkten und -systemen existiert der Standard ISO/IEC 15408 (Common Criteria).
- ISO/IEC 27000 – Information security management systems – Overview and vocabulary
- ISO/IEC 27001 – Information security management systems – Requirements; hervorgegangen aus Teil 2 des British Standard BS 7799
- ISO/IEC 27002 – Code of practice for information security management; hervorgegangen aus Teil 1 des British Standard BS 7799 und der ISO/IEC 17799;
- ISO/IEC 27003 – Information security management systems – Implementation Guidelines
- ISO/IEC 27004 – Information security management measurements
- ISO/IEC 27005 – Information security risk management
Vorlage:Hauptartikel Aus Teil 2 von BS 7799 hat sich die Norm ISO/IEC 27001:2005 entwickelt. Sie spezifiziert die Anforderungen an ein Information Security Management System (ISMS). Innerhalb der ISO/IEC 2700x-Familie kann man mit Hilfe der ISO/IEC 27001 den Erfüllungsgrad der Konformität nachvollziehen. Firmen und Behörden können anhand der ISO/IEC 27001 ihre ISMS beurteilen und zertifizieren lassen.
Vorlage:Hauptartikel Die ISO/IEC 27002:2005 führte in zwölf Aufgabenfelder Vorgaben für Risikoanalyse und -bewältigung (Section 4) und insgesamt 123 Kontrollpunkte auf, die zum Teil sehr konkrete Handlungsanweisungen (Implementation guidance) enthalten (Section 5–15). Da die neue Norm technikneutral ist, sind diese Handlungsanweisungen jedoch auf der konzeptionellen Ebene und müssen für den konkreten Anwendungsfall auf organisatorische, betriebliche und technische Maßnahmen heruntergebrochen werden. Im Bereich der technischen Sicherheitsmaßnahmen lässt sich die ISO/IEC 27002:2005 sinnvoll durch die IT-Grundschutz-Kataloge des Bundesamts für Sicherheit in der Informationstechnik ergänzen.
Entwickelten sich viele Standards ursprünglich in sprachlicher, geographischer und institutioneller Hinsicht unabhängig voneinander, nähern sich die Normen immer mehr einander an. Seit Erscheinen der ISO/IEC 17799-Norm im Jahr 2000 hat besonders das Thema der Kompatibilität der Standards untereinander die Weiterentwicklung geprägt. So ist der IT-Grundschutz zur ISO/IEC 27001-Norm kompatibel. Seit 2012 werden alle ISO-Normen einer neuen Struktur für Managementstandards mit dem Namen Annex SL angepasst. Damit bezweckt die ISO eine bessere Verknüpfung der Standards untereinander. Die Einführung und Verwendung mehrerer ISO-Standards wie zum Beispiel der ISO/IEC 27001 und der ISO/IEC 20000 nebeneinander soll vereinfacht werden.[1]
Die ISO/IEC-Standards zur Informationssicherheit sollen sukzessive erweitert werden: im August 2013 waren 21 Standards erschienen und insgesamt mindestens 31 Normen geplant.