Praxisbuch ISO/IEC 27001

Transkript

1 Praxisbuch ISO/IEC Management der Informationssicherheit und Vorbereitung auf die Zertifizierung Bearbeitet von Michael Brenner, Nils gentschen Felde, Wolfgang Hommel, Stefan Metzger, Helmut Reiser, Thomas Schaaf 1. Auflage Buch. XII, 196 S. ISBN Format (B x L): 19,8 x 24,6 cm Gewicht: 591 g Weitere Fachgebiete > EDV, Informatik > EDV, Informatik: Allgemeines, Moderne Kommunikation > EDV: Ausbildung, Berufe, Zertifizierung Zu Leseprobe schnell und portofrei erhältlich bei Die Online-Fachbuchhandlung beck-shop.de ist spezialisiert auf Fachbücher, insbesondere Recht, Steuern und Wirtschaft. Im Sortiment finden Sie alle Medien (Bücher, Zeitschriften, CDs, ebooks, etc.) aller Verlage. Ergänzt wird das Programm durch Services wie Neuerscheinungsdienst oder Zusammenstellungen von Büchern zu Sonderpreisen. Der Shop führt mehr als 8 Millionen Produkte.

2 Michael Brenner, Nils gentschen Felde, Wolfgang Hommel, Stefan Metzger, Helmut Reiser, Thomas Schaaf Praxisbuch ISO/IEC Management der Informationssicherheit und Vorbereitung auf die Zertifizierung ISBN: Weitere Informationen oder Bestellungen unter sowie im Buchhandel. Carl Hanser Verlag, München

3 1 Einführung und Basiswissen Worum geht es in ISO/IEC 27001? Begriffsbildung Informationen Informationssicherheit Schutzziele: Aspekte der Informationssicherheit Vertraulichkeit (Confidentiality) Integrität (Integrity) Verfügbarkeit (Availability) Authentizität (Authenticity) und Authentisierung (Authentication) Zurechenbarkeit (Accountability) Nicht-Abstreitbarkeit/Verbindlichkeit (Non-repudiation) Verlässlichkeit (Reliability) Zugriffskontrolle (Access Control) Überblick über die folgenden Kapitel Die Normenreihe ISO/IEC im Überblick Warum Standardisierung? Grundlagen der ISO/IEC Normative vs. informative Standards Die Standards der ISMS-Familie und ihre Zusammenhänge Allgemeine und normative Anforderungen ISO/IEC 27001: Anforderungen an ein ISMS ISO/IEC 27006: Anforderungen an Zertifizierer Allgemeine und informative Leitfäden ISO/IEC 27002: Leitfaden für das Informationssicherheits- Management ISO/IEC 27003: Umsetzungsempfehlungen ISO/IEC 27004: Messungen... 11

4 VI Inhaltsverzeichnis ISO/IEC 27005: Risikomanagement ISO/IEC und ISO/IEC 27008: Audit-Leitfäden Branchenspezifische Leitfäden ISO/IEC 27011: Leitfaden für die Telekommunikationsbranche ISO 27799: Leitfaden für Organisationen im Gesundheitswesen Zusammenfassung Beispiele für Prüfungsfragen zu diesem Kapitel Grundlagen von Informationssicherheits-Managementsystemen (ISMS) Das ISMS und seine Bestandteile (Informations-)Werte Leitlinien, Prozesse und Verfahren Dokumente und Aufzeichnungen Zuweisung von Verantwortlichkeiten Maßnahmenziele und Maßnahmen Was bedeutet Prozessorientierung? Die PDCA-Methodik: Plan-Do-Check-Act Planung (Plan) Umsetzung (Do) Überprüfung (Check) Konformität Effektivität Effizienz Verbesserung (Act) Zusammenfassung Beispiele für Prüfungsfragen zu diesem Kapitel ISO/IEC Spezifikationen und Mindestanforderungen Anwendungsbereich Normative Verweisungen Begriffe Informationssicherheits-Managementsystem Allgemeine Anforderungen Festlegung und Verwaltung des ISMS Festlegen des ISMS Umsetzen und Durchführen des ISMS Überwachen und Überprüfen des ISMS Instandhalten und Verbessern des ISMS Dokumentationsanforderungen Allgemeines Lenkung von Dokumenten... 48

5 VII Lenkung von Aufzeichnungen Verantwortung des Managements Interne ISMS-Audits Managementbewertung des ISMS Verbesserung des ISMS Zusammenfassung Beispiele für Prüfungsfragen zu diesem Kapitel Maßnahmenziele und Maßnahmen im Rahmen des ISMS A.5 Sicherheitsleitlinie (A.5) A.6 Organisation der Informationssicherheit (A.6) A.6.1 Interne Organisation (A.6.1) A.6.2 Externe Beziehungen (A.6.2) A.7 Management von organisationseigenen Werten (A.7) A.7.1 Verantwortung für organisationseigene Werte (Assets) (A.7.1) A.7.2 Klassifizierung von Informationen (A.7.2) A.8 Personelle Sicherheit (A.8) A.8.1 Vor der Anstellung (A.8.1) A.8.2 Während der Anstellung (A.8.2) A.8.3 Beendigung oder Änderung der Anstellung (A.8.3) A.9 Physische und umgebungsbezogene Sicherheit (A.9) A.9.1 Sicherheitsbereiche (A.9.1) A.9.2 Sicherheit von Betriebsmitteln (A.9.2) A.10 Betriebs- und Kommunikationsmanagement (A.10) A.10.1 Verfahren und Verantwortlichkeiten (A.10.1) A.10.2 Management der Dienstleistungserbringung von Dritten (A.10.2) A.10.3 Systemplanung und Abnahme (A.10.3) A.10.4 Schutz vor Schadsoftware und mobilem Programmcode (A.10.4) A.10.5 Backup (A.10.5) A.10.6 Management der Netzsicherheit (A.10.6) A.10.7 Handhabung von Speicher- und Aufzeichnungsmedien (A.10.7) A.10.8 Austausch von Informationen (A.10.8) A.10.9 E-Commerce-Anwendungen (A.10.9) A Überwachung (A.10.10) A.11 Zugangskontrolle (A.11) A.11.1 Geschäftsanforderungen für Zugangskontrolle (A.11.1) A.11.2 Benutzerverwaltung (A.11.2) A.11.3 Benutzerverantwortung (A.11.3) A.11.4 Zugangskontrolle für Netze (A.11.4) A.11.5 Zugriffskontrolle auf Betriebssysteme (A.11.5) A.11.6 Zugangskontrolle zu Anwendungen und Information (A.11.6) A.11.7 Mobile Computing und Telearbeit (A.11.7)

6 VIII Inhaltsverzeichnis 5.A.12 Beschaffung, Entwicklung und Wartung von Informationssystemen (A.12) A.12.1 Sicherheitsanforderungen von Informationssystemen (A.12.1) A.12.2 Korrekte Verarbeitung in Anwendungen (A.12.2) A.12.3 Kryptographische Maßnahmen (A.12.3) A.12.4 Sicherheit von Systemdateien (A.12.4) A.12.5 Sicherheit bei Entwicklungs- und Unterstützungsprozessen (A.12.5) A.12.6 Schwachstellenmanagement (A.12.6) A.13 Umgang mit Informationssicherheitsvorfällen (A.13) A.13.1 Melden von Informationssicherheitsereignissen und Schwachstellen (A.13.1) A.13.2 Umgang mit Informationssicherheitsvorfällen und Verbesserungen (A.13.2) A.14 Sicherstellung des Geschäftsbetriebs (Business Continuity Management) (A.14) A.15 Einhaltung von Vorgaben (A.15) A.15.1 Einhaltung gesetzlicher Vorgaben (A.15.1) A.15.2 Einhaltung von Sicherheitsregelungen und -standards und technischer Vorgaben (A.15.2) A.15.3 Überlegungen zu Revisionsprüfungen von Informationssystemen (A.15.3) Zusammenfassung Beispiele für Prüfungsfragen zu diesem Kapitel Verwandte Standards und Rahmenwerke ISO 9000 (Qualitätsmanagement) Zielsetzung und Anwendungsbereich Aufbau und Inhalt Bezug zu ISO/IEC ISO/IEC (IT Service Management) Zielsetzung und Anwendungsbereich Aufbau und Inhalt Bezug zu ISO/IEC ISO/IEC (Bewertung der Informationssicherheit) Zielsetzung und Anwendungsbereich Aufbau und Inhalt Bezug zu ISO/IEC Das COBIT-Framework (IT-Governance) Zielsetzung und Anwendungsbereich Aufbau und Inhalt Bezug zu ISO/IEC Das COSO ERM-Framework (Risikomanagement) Zielsetzung und Anwendungsbereich Aufbau und Inhalt

7 IX Bezug zu ISO/IEC Die BSI-Grundschutzkataloge (IT-Grundschutz) Zielsetzung und Anwendungsbereich Aufbau und Inhalt Bezug zu ISO/IEC Zusammenfassung Beispiele für Prüfungsfragen zu diesem Kapitel Zertifizierungsmöglichkeiten nach ISO/IEC ISMS-Zertifizierung nach ISO/IEC Grundlagen der Zertifizierung von Managementsystemen Zertifizierung Akkreditierung Typischer Ablauf einer Zertifizierung Auditumfang Akzeptanz und Gültigkeit des Zertifikats Personenqualifizierung auf Basis von ISO/IEC Das Programm des TÜV Süd Das Foundation-Zertifikat Prüfungsspezifikation Vorbereitung auf die Zertifizierungsprüfung Zusammenfassung Beispiele für Prüfungsfragen zu diesem Kapitel A Prüfungsfragen mit Antworten zur ISO/IEC Foundation..159 A.1 Antworten auf die Prüfungsfragen zu den einzelnen Buchkapiteln A.2 Ein beispielhafter Prüfungsfragebogen zur ISO/IEC Foundation-Prüfung Literaturverzeichnis Index...189