{"id":91242,"date":"2020-08-10T13:42:09","date_gmt":"2020-08-10T11:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/5-stadij-neizbezhnosti-prinyatiya-iso-iec-27001-sertifikaczii-depressiya"},"modified":"2020-08-10T13:42:09","modified_gmt":"2020-08-10T11:42:09","slug":"5-stadij-neizbezhnosti-prinyatiya-iso-iec-27001-sertifikaczii-depressiya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/5-stadij-neizbezhnosti-prinyatiya-iso-iec-27001-sertifikaczii-depressiya","title":{"rendered":"5 Phasen der unvermeidlichen Akzeptanz der ISO\/IEC 27001-Zertifizierung. Depression","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die vierte Phase der emotionalen Reaktion auf Ver\u00e4nderungen ist die Depression. In diesem Artikel berichten wir \u00fcber unsere Erfahrungen mit der langwierigen und unangenehmen Phase \u2013 den \u00c4nderungen der Gesch\u00e4ftsprozesse des Unternehmens, um deren Konformit\u00e4t mit dem ISO 27001-Standard zu erreichen.<\/p>\n

\"5
\n<\/p>\n

Erwartungen<\/b><\/h2>\n

\nDie erste Frage, die wir uns nach der Auswahl der Zertifizierungsstelle und des Beraters gestellt haben, war \u2013 wie viel Zeit ben\u00f6tigen wir tats\u00e4chlich f\u00fcr alle notwendigen \u00c4nderungen?<\/p>\n

Der urspr\u00fcngliche Arbeitsplan war so ausgelegt, dass wir es in 3 Monaten schaffen sollten.<\/p>\n

\"5
\n
\n<\/a><\/noindex>Es schien einfach: Wir mussten ein paar Dutzend Richtlinien erstellen und unsere internen Prozesse leicht anpassen; dann sollten wir die Kollegen schulen und noch 3 Monate warten (um \u201eAufzeichnungen\u201c zu erhalten, also den Nachweis \u00fcber die Funktionsweise der Richtlinien). Es schien, als w\u00e4re das alles \u2013 und das Zertifikat w\u00e4re in der Tasche.<\/p>\n

Au\u00dferdem hatten wir nicht vor, die Richtlinien von Grund auf neu zu schreiben \u2013 schlie\u00dflich hatten wir einen Berater, der uns \u2013 wie wir dachten \u2013 alle \u201erichtigen\u201c Vorlagen zur Verf\u00fcgung stellen sollte.<\/p><\/blockquote>\n

Infolge dieser \u00dcberlegungen haben wir f\u00fcr die Vorbereitung jeder Richtlinie 3 Tage eingeplant. <\/p>\n

Technische \u00c4nderungen schienen ebenfalls nicht \u00fcberm\u00e4\u00dfig kompliziert: Es war notwendig, den Prozess der Ereignisspeicherung und -aufzeichnung einzurichten, sicherzustellen, dass die Backups der von uns geschriebenen Richtlinie entsprechen, die SKUD-B\u00fcros gegebenenfalls nachzur\u00fcsten und einige weitere kleinere Anpassungen vorzunehmen.
\nDas Team, das alles Notwendige f\u00fcr die Zertifizierung vorbereitete, bestand aus zwei Personen. Wir hatten geplant, dass sie sich parallel zu ihren Hauptaufgaben mit der Implementierung besch\u00e4ftigen w\u00fcrden, was maximal 1,5-2 Stunden pro Tag in Anspruch nehmen sollte.
\nZusammenfassend kann man sagen, dass unsere Einsch\u00e4tzung des bevorstehenden Arbeitsumfangs ziemlich optimistisch war. <\/p>\n

Realit\u00e4t<\/b><\/h2>\n

\nIn Wirklichkeit sah alles jedoch ganz anders aus: Die von dem Berater bereitgestellten Richtlinienschablonen waren \u00fcberwiegend f\u00fcr unser Unternehmen ungeeignet; es gab im Internet kaum verst\u00e4ndliche Informationen dar\u00fcber, was und wie zu tun war. Wie Sie sich vorstellen k\u00f6nnen, scheiterte der Plan, \"eine Richtlinie in 3 Tagen zu schreiben\", kl\u00e4glich. So begannen wir praktisch von Anfang an, die Fristen nicht zu halten, und die Stimmung sank langsam. <\/p>\n

\"5
\n
\nDas Fachwissen des Teams war katastrophal unzureichend \u2013 so sehr, dass es nicht einmal ausreichte, um die richtigen Fragen an den Berater zu stellen (der, \u00fcbrigens, auch nicht viel Initiative zeigte). Der Fortschritt verlangsamte sich weiter, da drei Monate nach Projektstart (also zu dem Zeitpunkt, an dem alles bereits bereit sein sollte) einer der beiden Hauptakteure das Team verlie\u00df. An seine Stelle trat ein neuer IT-Leiter, der in kurzer Zeit den Implementierungsprozess abschlie\u00dfen und das Informationssicherheitsmanagementsystem mit allem Technisch Notwendigen ausstatten sollte. Die Aufgabe schien komplex\u2026 Die Verantwortlichen fielen in eine Depression.<\/p>\n

Zudem stellte sich auch die technische Seite als \u201eherausfordernd\u201c heraus. Wir standen vor der Aufgabe einer umfangreichen Modernisierung der Software sowohl auf Arbeitsstationen als auch auf Serverhardware. W\u00e4hrend der Einrichtung des Systems zur Ereignissammlung (Logs) stellte sich heraus, dass uns die Hardware-Ressourcen f\u00fcr den ordnungsgem\u00e4\u00dfen Betrieb des Systems fehlten. Auch die Backup-Software ben\u00f6tigte eine Modernisierung.<\/p>\n

Spoiler: Am Ende wurde das ISMS innerhalb von 6 Monaten erfolgreich implementiert. Und es ist niemand gestorben! <\/p><\/blockquote>\n

<\/p>\n

Was hat sich am meisten ver\u00e4ndert?<\/b><\/h2>\n

\nZweifellos gab es im Zuge der Implementierung des Standards viele kleine Ver\u00e4nderungen in den Prozessen des Unternehmens. F\u00fcr Sie haben wir die wichtigsten \u00c4nderungen hervorgehoben:<\/p>\n