Die Pironet NDH Datacenter, einer der führenden ITK-Outsourcing Anbieter im deutschen Mittelstand, erhält die ISO/IEC 27001-Zertifizierung für die angebotenen ITK-Outsourcing-Leistungen. Die Zertifizierung für professionelle Informationssicherheit umfasst dabei sämtliche Bereitstellungs- und Betriebsaspekte der ITK-Outsourcing-Produktlinien einschließlich der Software-as-a-Service- und Cloud-Computing-Lösungen des Unternehmens.
Die DIN ISO/IEC 27001 ist ein vorwiegend im Konzernumfeld verwendeter, internationaler Zertifizierungsstandard für den Umgang mit Informationssicherheit. Das Management von Informationssicherheit geht dabei über eine primär technisch ausgerichtete Systemsicherheit weit hinaus und umfasst zusätzlich einen sehr umfangreichen Maßnahmenkatalog, der u.a. auch die enge Einhaltung von entsprechend definierten Organisationsabläufen und Dokumentationspflichten im Zusammenhang mit der Informationssicherheit vorsieht.
Einige der Maßnahmen sind gesetzlich vorgeschrieben (z.B. BDSG), andere sind Teil der Verpflichtungen gegenüber den Kunden und Aufsichtsbehörden. Verschärfte gesetzliche Auflagen und Compliance-Vorgaben zwingen dabei zunehmend auch mittelständische Unternehmen ihren IT-Betrieb nach sehr strengen Vorgaben auszurichten.
Der offiziellen Zertifizierung ging die Einführung eines Managementsystems zur Informationssicherheit (ISMS) sowie die nachfolgende Prüfung durch einen zertifizierten ISO/IEC 27001-Auditor, die Persicon Cert AG, voraus. Hierzu gehörten alle technischen wie auch prozessorientierten Aspekte im Zusammenhang mit dem Sicherheits- und Risikomanagement der Pironet NDH Datacenter. Konzeption und Implementierung erfolgte durch den großen Umfang aller durchzuführenden Maßnahmen in einem mehrjährigen und unternehmensweiten Qualifizierungsprojekt.
Höhere IT-Sicherheit im Mittelstand
"Die Auslagerung des IT-Betriebs bietet Unternehmen die Möglichkeit, die Datensicherheit erheblich zu verbessern. Denn gerade im Mittelstand fühlen sich viele Kunden bei den Themen Datenschutz, Compliance und gesetzlich geforderter IT-Sicherheit heillos überfordert und fragen in ihren Ausschreibungen ausdrücklich den Nachweis einer hohen Anbieterkompetenz ab" so Felix Höger, Vorstand der Pironet NDH AG und Geschäftsführer der Pironet NDH Datacenter. "Mit der neuen Zertifizierung dokumentieren wir den verantwortlichen Umgang mit den Daten unserer Kunden sowie die operative Excellenz in unseren Prozessabläufen und können uns so von geringer qualifizierten IT-Dienstleistern deutlich abgrenzen."
Dabei rät Felix Höger potentiellen Outsourcing-Interessenten gerade bei dem Thema Informationssicherheit sehr genau hinzuschauen. Einige IT-Dienstleister werben mit ähnlich klingenden Zertifikaten und Auszeichnungen oder scheuen den hohen Aufwand für die Einführung eines weitreichenden ISMS und lassen mithin nur einen zu eng umrissenen und damit in der Regel für die meisten ihrer Kunden faktisch nicht relevanten Teil ihrer Leistungserbringung offiziell zertifizieren. Outsourcing-Kunden sollten Zertifizierungen daher vorab immer kritisch prüfen.
Managementsystem für das gesamte Unternehmen
"Software as a Service ist bei Pironet NDH allerdings schon per Definition durch eine ganzheitliche Leistungserbringung und umfassende Sicherheitslösungen charakterisiert, mithin ist auch der Scope unserer Zertifizierung weitreichend und erstreckt sich über das gesamte Unternehmen", ergänzt Dr. Clemens Plieth, Managing Director Service Delivery der Pironet NDH Datacenter. "Aus diesem Grund umfasst unser ISMS sowohl die physikalische und logische Sicherheit in unseren Rechenzentren und die organisatorischen Vorkehrungen im Umgang mit Kundendaten bis hin zur revisionssicheren Protokollierung und Archivierung aller sicherheitsrelevanten Vorgänge."
Die ISO-27001-Zertifizierung bedeutet für Kunden die Einhaltung von klar definierten technischen und sicherheitsbezogenen Standards und damit der definierten Service-Levels der Pironet NDH Datacenter. Neue Erkenntnisse werden kontinuierlich in das Managementsystem eingearbeitet, um die Sicherheit laufend an geänderte Bedingungen anzupassen.
Weitere Informationen: DIN ISO/IEC 27001
Die DIN ISO/IEC 27001 ist ein internationaler Standard für das IT-Sicherheitsmanagement. Der Standard beinhaltet Informationen zu rund 130 Maßnahmen, erklärt was sie bewirken, und leitet an, wie sie zu implementieren sind. Er erlaubt Organisationen, Informationssicherheit zu messen und ihr ISMS zur Selbstprüfung intern zu auditieren oder ihren Sicherheitsstatus durch eine unabhängige dritte Partei überprüfen zu lassen, die dafür die ISO 27001-Zertifizierung vergibt. Das ISMS besteht aus den Elementen Sicherheitspolitik, Sicherheitsorganisation, Klassifizierung und Überwachung der Anlagen und Bestände, Personelle Sicherheit, Physische und umgebungsbezogene Sicherheit, Management der Kommunikation und Betriebsabläufe, Zugriffsüberwachung, Systementwicklung und -wartung (Change Management), Problemabwicklung (Incident Management), Geschäftskontinuitätsplanung und Einhaltung der Verpflichtungen.
Weitere Informationen: Wichtige Aspekte der DIN ISO/IEC 27001
- Informationssicherheits-Leitlinie
Das Management muss die Informationssicherheit innerhalb der Organisation aktiv unterstützen. Es muss eine Informationssicherheits-Leitlinie genehmigen, veröffentlichen und alle Mitarbeiter und relevanten Externe davon in Kenntnis setzen.
- Überprüfung der Informationssicherheit
Die Handhabung und Umsetzung der Informationssicherheit muss in regelmäßigen Abständen mittels sogenannter Audits von unabhängiger Seite überprüft werden.
- Sicherheit im Umgang mit Kunden
Alle identifizierten Sicherheitsanforderungen müssen berücksichtigt sein, bevor Kunden Zugang zu Informationen der Organisation gegeben wird.
- Sensibilisierung und Schulung für Informationssicherheit
Alle Mitarbeiter müssen geeignete Sensibilisierungsmaßnahmen in Sachen Informationssicherheit erhalten und regelmäßig über interne Regelungen informiert werden.
- Zutrittskontrolle
Sicherheitsbereiche müssen durch angemessene Zutrittskontrollen geschützt sein.
- Dokumentierte Prozesse
Die informationsverarbeitende Einrichtung muss Betriebsprozesse dokumentieren.
- Aufteilung von Verantwortlichkeiten
Die informationsverarbeitende Einrichtung muss Pflichten und Verantwortungsbereiche aufteilen.
- Aufteilung von Entwicklungs-, Test- und Produktiveinrichtungen
Entwicklungs-, Test- und Produktiveinrichtungen müssen getrennt sein, um das Risiko unbefugten Zugriffs oder Änderungen des Produktivsystems zu verhindern.
- Überwachung und Überprüfung der Dienstleistungen von Dritten
Von Dritten gelieferte Dienstleistungen, Berichte und Aufzeichnungen müssen regelmäßig überwacht und überprüft werden; Audits sollten regelmäßig durchgeführt werden.
- Audit-Protokolle
Es müssen Audit-Protokolle erstellt werden, in denen Benutzeraktivitäten, Fehler und Informationssicherheitsvorfälle festgehalten werden.
- Melden von IT-Sicherheits-Lecks
Informationssicherheits-Ereignisse müssen so schnell wie möglich über die geeigneten Managementkanäle gemeldet werden.
- Sicherstellung des Geschäftsbetriebs
In dem gesamten Unternehmen muss ein gelenkter Prozess zur Sicherstellung des Geschäftsbetriebs entwickelt und aufrechterhalten werden.
Die DIN ISO/IEC 27001 ist ein vorwiegend im Konzernumfeld verwendeter, internationaler Zertifizierungsstandard für den Umgang mit Informationssicherheit. Das Management von Informationssicherheit geht dabei über eine primär technisch ausgerichtete Systemsicherheit weit hinaus und umfasst zusätzlich einen sehr umfangreichen Maßnahmenkatalog, der u.a. auch die enge Einhaltung von entsprechend definierten Organisationsabläufen und Dokumentationspflichten im Zusammenhang mit der Informationssicherheit vorsieht.
Einige der Maßnahmen sind gesetzlich vorgeschrieben (z.B. BDSG), andere sind Teil der Verpflichtungen gegenüber den Kunden und Aufsichtsbehörden. Verschärfte gesetzliche Auflagen und Compliance-Vorgaben zwingen dabei zunehmend auch mittelständische Unternehmen ihren IT-Betrieb nach sehr strengen Vorgaben auszurichten.
Der offiziellen Zertifizierung ging die Einführung eines Managementsystems zur Informationssicherheit (ISMS) sowie die nachfolgende Prüfung durch einen zertifizierten ISO/IEC 27001-Auditor, die Persicon Cert AG, voraus. Hierzu gehörten alle technischen wie auch prozessorientierten Aspekte im Zusammenhang mit dem Sicherheits- und Risikomanagement der Pironet NDH Datacenter. Konzeption und Implementierung erfolgte durch den großen Umfang aller durchzuführenden Maßnahmen in einem mehrjährigen und unternehmensweiten Qualifizierungsprojekt.
Höhere IT-Sicherheit im Mittelstand
"Die Auslagerung des IT-Betriebs bietet Unternehmen die Möglichkeit, die Datensicherheit erheblich zu verbessern. Denn gerade im Mittelstand fühlen sich viele Kunden bei den Themen Datenschutz, Compliance und gesetzlich geforderter IT-Sicherheit heillos überfordert und fragen in ihren Ausschreibungen ausdrücklich den Nachweis einer hohen Anbieterkompetenz ab" so Felix Höger, Vorstand der Pironet NDH AG und Geschäftsführer der Pironet NDH Datacenter. "Mit der neuen Zertifizierung dokumentieren wir den verantwortlichen Umgang mit den Daten unserer Kunden sowie die operative Excellenz in unseren Prozessabläufen und können uns so von geringer qualifizierten IT-Dienstleistern deutlich abgrenzen."
Dabei rät Felix Höger potentiellen Outsourcing-Interessenten gerade bei dem Thema Informationssicherheit sehr genau hinzuschauen. Einige IT-Dienstleister werben mit ähnlich klingenden Zertifikaten und Auszeichnungen oder scheuen den hohen Aufwand für die Einführung eines weitreichenden ISMS und lassen mithin nur einen zu eng umrissenen und damit in der Regel für die meisten ihrer Kunden faktisch nicht relevanten Teil ihrer Leistungserbringung offiziell zertifizieren. Outsourcing-Kunden sollten Zertifizierungen daher vorab immer kritisch prüfen.
Managementsystem für das gesamte Unternehmen
"Software as a Service ist bei Pironet NDH allerdings schon per Definition durch eine ganzheitliche Leistungserbringung und umfassende Sicherheitslösungen charakterisiert, mithin ist auch der Scope unserer Zertifizierung weitreichend und erstreckt sich über das gesamte Unternehmen", ergänzt Dr. Clemens Plieth, Managing Director Service Delivery der Pironet NDH Datacenter. "Aus diesem Grund umfasst unser ISMS sowohl die physikalische und logische Sicherheit in unseren Rechenzentren und die organisatorischen Vorkehrungen im Umgang mit Kundendaten bis hin zur revisionssicheren Protokollierung und Archivierung aller sicherheitsrelevanten Vorgänge."
Die ISO-27001-Zertifizierung bedeutet für Kunden die Einhaltung von klar definierten technischen und sicherheitsbezogenen Standards und damit der definierten Service-Levels der Pironet NDH Datacenter. Neue Erkenntnisse werden kontinuierlich in das Managementsystem eingearbeitet, um die Sicherheit laufend an geänderte Bedingungen anzupassen.
Weitere Informationen: DIN ISO/IEC 27001
Die DIN ISO/IEC 27001 ist ein internationaler Standard für das IT-Sicherheitsmanagement. Der Standard beinhaltet Informationen zu rund 130 Maßnahmen, erklärt was sie bewirken, und leitet an, wie sie zu implementieren sind. Er erlaubt Organisationen, Informationssicherheit zu messen und ihr ISMS zur Selbstprüfung intern zu auditieren oder ihren Sicherheitsstatus durch eine unabhängige dritte Partei überprüfen zu lassen, die dafür die ISO 27001-Zertifizierung vergibt. Das ISMS besteht aus den Elementen Sicherheitspolitik, Sicherheitsorganisation, Klassifizierung und Überwachung der Anlagen und Bestände, Personelle Sicherheit, Physische und umgebungsbezogene Sicherheit, Management der Kommunikation und Betriebsabläufe, Zugriffsüberwachung, Systementwicklung und -wartung (Change Management), Problemabwicklung (Incident Management), Geschäftskontinuitätsplanung und Einhaltung der Verpflichtungen.
Weitere Informationen: Wichtige Aspekte der DIN ISO/IEC 27001
- Informationssicherheits-Leitlinie
Das Management muss die Informationssicherheit innerhalb der Organisation aktiv unterstützen. Es muss eine Informationssicherheits-Leitlinie genehmigen, veröffentlichen und alle Mitarbeiter und relevanten Externe davon in Kenntnis setzen.
- Überprüfung der Informationssicherheit
Die Handhabung und Umsetzung der Informationssicherheit muss in regelmäßigen Abständen mittels sogenannter Audits von unabhängiger Seite überprüft werden.
- Sicherheit im Umgang mit Kunden
Alle identifizierten Sicherheitsanforderungen müssen berücksichtigt sein, bevor Kunden Zugang zu Informationen der Organisation gegeben wird.
- Sensibilisierung und Schulung für Informationssicherheit
Alle Mitarbeiter müssen geeignete Sensibilisierungsmaßnahmen in Sachen Informationssicherheit erhalten und regelmäßig über interne Regelungen informiert werden.
- Zutrittskontrolle
Sicherheitsbereiche müssen durch angemessene Zutrittskontrollen geschützt sein.
- Dokumentierte Prozesse
Die informationsverarbeitende Einrichtung muss Betriebsprozesse dokumentieren.
- Aufteilung von Verantwortlichkeiten
Die informationsverarbeitende Einrichtung muss Pflichten und Verantwortungsbereiche aufteilen.
- Aufteilung von Entwicklungs-, Test- und Produktiveinrichtungen
Entwicklungs-, Test- und Produktiveinrichtungen müssen getrennt sein, um das Risiko unbefugten Zugriffs oder Änderungen des Produktivsystems zu verhindern.
- Überwachung und Überprüfung der Dienstleistungen von Dritten
Von Dritten gelieferte Dienstleistungen, Berichte und Aufzeichnungen müssen regelmäßig überwacht und überprüft werden; Audits sollten regelmäßig durchgeführt werden.
- Audit-Protokolle
Es müssen Audit-Protokolle erstellt werden, in denen Benutzeraktivitäten, Fehler und Informationssicherheitsvorfälle festgehalten werden.
- Melden von IT-Sicherheits-Lecks
Informationssicherheits-Ereignisse müssen so schnell wie möglich über die geeigneten Managementkanäle gemeldet werden.
- Sicherstellung des Geschäftsbetriebs
In dem gesamten Unternehmen muss ein gelenkter Prozess zur Sicherstellung des Geschäftsbetriebs entwickelt und aufrechterhalten werden.
