ISO/IEC 27001:2022 für die Fertigungsindustrie:

Übersicht

ISO/IEC 27001:2022 ist die international anerkannte Norm für die Zertifizierung von Informationssicherheits-Managementsystemen (ISMS). Mit der Überarbeitung von 2022 wurde Anhang A in 93 Kontrollmaßnahmen zu vier Themenbereichen neu strukturiert, und die in der Ausgabe von 2013 getrennt aufgeführten Kontrollmaßnahmen für Kryptografie und Schlüsselverwaltung (10.1.1 und 10.1.2) wurden zu einer einzigen Kontrollmaßnahme, 8.24 „Einsatz von Kryptografie“, zusammengefasst. 

In der Praxis verlangt 8.24 eine dokumentierte, risikobasierte Kryptografie-Richtlinie, in der zugelassene Algorithmen und Mindestschlüsselstärken definiert sind, sowie einen geregelten Lebenszyklus für kryptografische Schlüssel – einschließlich Generierung, Verteilung, Speicherung, Rotation und Vernichtung –, den Auditoren anhand von betrieblichen Nachweisen und nicht allein anhand von Richtlinienerklärungen überprüfen. 

Warum das wichtig ist 

Die Zertifizierung ist zwar freiwillig, hat sich jedoch de facto zu einer geschäftlichen Voraussetzung entwickelt: In Sicherheitsfragebögen für Kunden, Ausschreibungen und Risikobewertungen von Lieferanten wird zunehmend eine aktuelle Zertifizierung nach ISO/IEC 27001 als Voraussetzung für eine Geschäftsbeziehung verlangt, sodass ein abgelaufenes Zertifikat nicht mehr nur einen Verstoß gegen die Vorschriften darstellt, sondern eine direkte Gefahr für den Umsatz. 

Da es sich bei ISO/IEC 27001 eher um eine Norm für Managementsysteme als um eine verbindliche technische Norm handelt, erwarten Auditoren bei der Prüfung von 8.24 die Nachweise für Verantwortlichkeiten, Rückverfolgbarkeit und Belegung, ein Zertifikats- und Schlüsselverzeichnis, eine Gültigkeitserklärung, die den Umfang der Kontrollmaßnahme begründet, sowie die Ergebnisse interner Audits, die jährlich bei Überwachungsaudits und vollständig bei der alle drei Jahre stattfindenden Rezertifizierung geprüft werden. 

Wie sich dies auf die Kryptografie übertragen lässt 

ISO/IEC 27001:2022 befasst sich am unmittelbarsten mit Kryptografie in Anhang A 8.24, ergänzt durch Bestimmungen zu sicherer Authentifizierung und Datenschutz an anderer Stelle in Anhang A. Die wichtigsten Kontrollbereiche mit direkten kryptografischen Auswirkungen sind: 

Prüfungsbereitschaft 

Bei Überwachungs- und Rezertifizierungsaudits nach ISO/IEC 27001 steht im Mittelpunkt, ob kryptografische Kontrollmaßnahmen wie dokumentiert umgesetzt werden und nicht nur in Richtlinien beschrieben sind. Zu den wichtigsten Bereichen, die Auditoren üblicherweise prüfen, gehören: 

• Dokumentierte Kryptografie-Richtlinie: Gibtes eine themenspezifische Richtlinie, in der zugelassene Algorithmen, Mindestschlüssellängen und die Bedingungen, unter denen eine Verschlüsselung vorgeschrieben ist, festgelegt sind? 

• Nachweis zum Schlüssellebenszyklus: Kanndie Organisation nicht nur eine Richtlinie, sondern auch Verfahren zur Generierung, sicheren Speicherung, Rotation und Vernichtung kryptografischer Schlüssel nachweisen? 

• Erklärung zur Anwendbarkeit und Rückverfolgbarkeit: Begründetdie SoA die Einbeziehung von 8.24 korrekt und verknüpft sie diese mit der zugrunde liegenden Risikobewertung? 

• Einhaltung gesetzlicher und behördlicher Vorschriften: Hatdie Organisation behördliche Beschränkungen im Bereich der Kryptografie, einschließlich Exportkontrollen und Datenstandortvorschriften, gemäß den Anforderungen in 8.24 berücksichtigt? 

• Aktualität des Zertifikats- und Schlüsselverzeichnisses: Gibtes ein aktuelles Verzeichnis der Zertifikate und kryptografischen Schlüssel mit Angabe der jeweiligen Inhaber und Ablaufdaten? 

• Interne Revision und Managementbewertung: Hatdie interne Revision die Kontrollen gemäß 8.24 geprüft und wurden die Ergebnisse im Rahmen des ISMS-Zyklus von der Geschäftsleitung überprüft? 

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

Mit der Norm ISO/IEC 27001:2022 wurden Kryptografie und Schlüsselverwaltung in einer einzigen Kontrollmaßnahme (8.24) zusammengefasst. Auditoren prüfen nun, ob wir tatsächlich einen Schlüssellebenszyklus umsetzen, und nicht mehr, ob wir ein Kästchen mit der Bezeichnung „Verschlüsselung aktiviert“ angekreuzt haben. Der Verlust der Zertifizierung kostet uns die Anbietergarantie, die zunehmend eine Voraussetzung für Kundenverträge und Ausschreibungen ist, noch bevor es überhaupt zu Verhandlungen kommt.

Die Lücke, die wir bei der Rezertifizierung am häufigsten feststellen, betrifft die Gültigkeitserklärung: Organisationen verfassen zwar eine Kryptografie-Richtlinie, können aber das Zertifikats- und Schlüsselinventar nicht vorlegen, das ein Auditor als Nächstes einsehen möchte. Der dreijährige Rezertifizierungszyklus mag noch weit entfernt erscheinen, doch da jedes Jahr Überwachungsaudits stattfinden, müssen diese Nachweise bereits jetzt aktuell sein und dürfen nicht erst vor dem nächsten Besuch zusammengestellt werden.