ISO/IEC 27001:2022:

Übersicht

ISO/IEC 27001:2022 ist die international anerkannte Norm für die Zertifizierung von Informationssicherheits-Managementsystemen (ISMS). Mit der Überarbeitung von 2022 wurde Anhang A in 93 Kontrollmaßnahmen zu vier Themenbereichen umstrukturiert, und die in der Ausgabe von 2013 getrennt aufgeführten Kontrollmaßnahmen für Kryptografie und Schlüsselverwaltung wurden zu einer einzigen Kontrollmaßnahme, 8.24 „Einsatz von Kryptografie“, zusammengefasst.

In der Praxis verlangt 8.24 eine dokumentierte, risikobasierte Kryptografie-Richtlinie, in der zugelassene Algorithmen und Mindestschlüsselstärken definiert sind, sowie einen geregelten Lebenszyklus für kryptografische Schlüssel – einschließlich Generierung, Verteilung, Speicherung, Rotation und Vernichtung –, den Auditoren anhand von betrieblichen Nachweisen und nicht nur anhand von Richtlinienerklärungen überprüfen. Für Unternehmen der Bereiche „ software “ und IT-Dienstleistungen umfasst dieser Geltungsbereich routinemäßig nicht nur die interne IT-Umgebung, sondern auch die im Produkt selbst eingebettete Kryptografie.

Warum das wichtig ist

Die Zertifizierung ist zwar freiwillig, hat sich jedoch insbesondere für Anbieter von IT- und E- software -Lösungen de facto zu einer geschäftlichen Voraussetzung entwickelt: In Sicherheitsfragebögen für Kunden, Ausschreibungen und Risikobewertungen von Lieferanten wird zunehmend eine aktuelle Zertifizierung nach ISO 27001 als Voraussetzung für eine Geschäftsbeziehung verlangt, sodass ein abgelaufenes Zertifikat nicht mehr nur einen Verstoß gegen die Vorschriften darstellt, sondern eine direkte Gefahr für den Umsatz bedeutet.

Da es sich bei 27001 um eine Norm für Managementsysteme und nicht um eine verbindliche technische Norm handelt, erwarten Auditoren bei der Prüfung von 8.24 den Nachweis von Verantwortlichkeit, Rückverfolgbarkeit und Belegen: ein Zertifikat und ein Schlüsselverzeichnis, eine Gültigkeitserklärung, die den Umfang der Kontrollmaßnahmen begründet, sowie Ergebnisse interner Audits, die jährlich im Rahmen von Überwachungsaudits und umfassend bei der alle drei Jahre stattfindenden Rezertifizierung geprüft werden.

Wie sich dies auf die Kryptografie auswirkt 

Die Norm ISO/IEC 27001 behandelt das Thema Kryptografie anhand mehrerer miteinander verknüpfter Kontrollbereiche. Die wichtigsten Bereiche mit direkten Auswirkungen auf die Kryptografie sind:

Prüfungsbereitschaft

Bewertungen und Prüfungen – unabhängig davon, ob sie intern durchgeführt, von einer Aufsichtsbehörde vorgenommen oder von einem unabhängigen Gutachter überprüft werden – konzentrieren sich auf nachgewiesene Fakten und nicht allein auf Grundsatzerklärungen. Zu den wichtigsten Bereichen, die Prüfer und Gutachter üblicherweise untersuchen, gehören:

• Dokumentierte Kryptografie-Richtlinie: Gibt es eine themenspezifische Richtlinie, in der zugelassene Algorithmen, Mindestschlüssellängen und die Bedingungen, unter denen eine Verschlüsselung vorgeschrieben ist, festgelegt sind und die sowohl interne Systeme als auch ausgelieferte Produkte abdeckt?
• Nachweis zum Schlüssellebenszyklus: Kann die Organisation Verfahren zur Generierung, sicheren Speicherung, Rotation und Vernichtung kryptografischer Schlüssel nachweisen – und nicht nur eine Grundsatzerklärung vorlegen?
• Nachweis der Anwendbarkeit und Rückverfolgbarkeit: Wird in der SoA die Einbeziehung von 8.24 korrekt begründet und mit der zugrunde liegenden Risikobewertung verknüpft?
• Einhaltung gesetzlicher und behördlicher Vorschriften: Hat die Organisation behördliche Beschränkungen im Bereich der Kryptografie, einschließlich Exportkontrollen und Datenstandortvorschriften, gemäß Anforderung 8.24 berücksichtigt?
• Aktualität des Zertifikats- und Schlüsselverzeichnisses: Gibt es ein aktuelles Verzeichnis der Zertifikate und kryptografischen Schlüssel mit Angabe der jeweiligen Inhaber und Ablaufdaten, einschließlich derjenigen, die in den Versionen von „ software “ eingebettet sind?
• Interne Revision und Managementbewertung: Hat die interne Revision die Kontrollen gemäß 8.24 geprüft, und wurden die Ergebnisse im Rahmen des ISMS-Zyklus von der Geschäftsleitung überprüft?

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

Mit der Norm ISO 27001:2022 wurden Kryptografie und Schlüsselverwaltung in einer einzigen Kontrollmaßnahme (8.24) zusammengefasst. Auditoren prüfen nun, ob wir tatsächlich einen Schlüssellebenszyklus betreiben, und nicht mehr, ob wir das Kästchen „Verschlüsselung aktiviert“ angekreuzt haben. Für ein nach „ software “ zertifiziertes Unternehmen bedeuten abgelaufene Zertifizierungen den Verlust der Anbietergarantie, die zunehmend eine Voraussetzung für Kundenverträge und Ausschreibungen ist, noch bevor es überhaupt zu Verhandlungen kommt.

Die Lücke, die wir bei der Rezertifizierung am häufigsten feststellen, betrifft die „Erklärung zur Anwendbarkeit“: Unternehmen verfassen zwar eine Kryptografie-Richtlinie, können aber nicht das Zertifikats- und Schlüsselinventar vorlegen, das ein Auditor als Nächstes einsehen möchte – insbesondere bei Schlüsseln, die nicht nur in der IT-Umgebung des Unternehmens, sondern direkt im Produkt selbst eingebettet sind. Der dreijährige Rezertifizierungszyklus mag noch weit entfernt erscheinen, doch da jedes Jahr Überwachungsaudits stattfinden, müssen diese Nachweise bereits jetzt aktuell sein und dürfen nicht erst vor dem nächsten Besuch zusammengestellt werden.