Der PDCA-Zyklus im Managementsystem nach ISO 27001

Weil Organisationen angesichts zahlreicher Sicherheitsangriffe wirksame Cybersicherheitsmaßnahmen brauchen, sind ISO-Normen in vielen Unternehmen längst Alltag. ISO-Normen sind Standards, die von der Internationalen Organisation für Normung (ISO) entwickelt und veröffentlicht werden. Ihr Hauptzweck ist es, bestimmte Prozesse in Bereichen wie der Informationssicherheit zu vereinheitlichen.

Zu den bekanntesten dieser Normen gehört die ISO-27000-Familie. Diese Normenreihe beschreibt Leitlinien und Anforderungen für die Einführung eines Informationssicherheits-Managementsystems (ISMS).

Die wichtigste und zertifizierbare Norm dieser Familie ist die ISO 27001. Sie legt die Anforderungen für Aufbau, Einführung, Aufrechterhaltung und fortlaufende Verbesserung eines ISMS fest.

Schaut man sich den Inhalt der Norm an, lassen sich ihre Kapitel 4 bis 10 als Deming- oder PDCA-Zyklus lesen. Es sind die folgenden:

• Kontext der Organisation
• Führung
• Planung
• Unterstützung
• Betrieb
• Bewertung der Leistung
• Verbesserung

Der Name PDCA steht für Plan-Do-Check-Act. Die Methode beruht auf fortlaufender Verbesserung, denn kein Prozess lässt sich jemals mit hundertprozentiger Wirksamkeit und Genauigkeit einführen. Die vier Wörter bezeichnen die vier Phasen des Zyklus.

Eine Einschränkung: Die ISO 27001 von 2005 nannte PDCA ausdrücklich als Modell für die Einführung des ISMS. Seit der Fassung von 2013, die die gemeinsame Struktur aller ISO-Managementsystemnormen übernimmt, wird das nicht mehr verlangt. Die Kapitel passen aber weiterhin in den Zyklus, deshalb wird er nach wie vor genutzt, um die Einführung zu gliedern.

Ziel dieser Phase ist es, das Informationssicherheits-Managementsystem aufzubauen. Konkret werden hier die Ziele, Verfahren und Leitlinien zur Informationssicherheit festgelegt, immer mit Blick auf deren Verbesserung.

Außerdem werden der Anwendungsbereich des Managementsystems sowie die Rollen mit ihren Aufgaben und Verantwortlichkeiten im Projekt definiert.

Zu dieser ersten Phase gehören vier Kapitel der ISO 27001:

• Kontext der Organisation
• Führung
• Planung
• Unterstützung

Im Kapitel Kontext werden die ersten Grundlagen des Managementsystems festgelegt: das Umfeld, das die Organisation umgibt und beeinflusst, die interessierten Parteien und der Anwendungsbereich des einzuführenden Managementsystems.

Im Kapitel Führung geht es darum, dass die oberste Leitung Führung und Engagement für Einführung und Aufrechterhaltung des Managementsystems zeigt. Dazu wird eine Sicherheitsleitlinie festgelegt, die alle Beteiligten kennen und anwenden müssen, und es werden ihre Rollen und Verantwortlichkeiten bestimmt.

Im Kapitel Planung wird festgelegt, wie Informationssicherheitsrisiken beurteilt und behandelt werden (6.1), einschließlich Risikobehandlungsplan und Erklärung zur Anwendbarkeit. Außerdem werden die Informationssicherheitsziele bestimmt (6.2), die laut Norm mit der Sicherheitsleitlinie übereinstimmen, messbar sein, kommuniziert und aktualisiert werden müssen. Die Fassung von 2022 ergänzt die Planung von Änderungen am ISMS (6.3).

Schließlich gehört auch alles zur Unterstützung in diese Phase. Hier sind mehrere Punkte zu beachten. Zum einen müssen die Ressourcen ermittelt werden, die für die Einführung des Managementsystems unverzichtbar sind, und ihre Verfügbarkeit muss sichergestellt werden. Zum anderen geht es um Kompetenz und Bewusstsein, wofür verschiedene Sicherheitsschulungen durchgeführt werden. Ebenso sind Verfahren für eine geregelte Kommunikation im Unternehmen festzulegen. Und schließlich muss die Organisation die Lenkung der Dokumentation des Systems regeln.

In dieser Phase wird das aufgebaute ISMS eingeführt. Die Verfahren aus der vorherigen Phase werden umgesetzt, und es werden die notwendigen Maßnahmen und Abläufe eingeführt, damit die Informationen der Organisation sicher und wirksam verwaltet werden.

In der ISO 27001 entspricht dieser Phase Kapitel 8, Betrieb. Wie schon erwähnt, wird hier das definierte Managementsystem in Gang gesetzt und eingeführt.

Wichtig sind in diesem Kapitel die Risikobeurteilungen in geplanten Abständen (8.2) und die Umsetzung des Risikobehandlungsplans (8.3). Das Inventar der Werte, meist der Ausgangspunkt der Analyse, ist eine der Maßnahmen aus Anhang A (5.9).

In dieser Phase, dem „C“ des PDCA-Zyklus, wird die Wirksamkeit des zuvor geplanten und eingeführten ISMS bewertet und überprüft. Dabei wird geprüft, ob etwa die Sicherheitsleitlinie, die Ziele und die eingeführten Verfahren eingehalten werden.

Diese Bewertungen und Überprüfungen sollten regelmäßig stattfinden, damit sichergestellt ist, dass die Verfahren und Maßnahmen zum Aufbau und zur Einführung des ISMS richtig umgesetzt sind und funktionieren.

Diese Phase des Deming-Zyklus entspricht Kapitel 9 der ISO 27001, der Bewertung der Leistung. Hier wird festgelegt, was überwacht und gemessen werden muss und mit welchen Methoden gültige Ergebnisse sichergestellt werden. Für Überwachung, Messung, Analyse und Bewertung des ISMS braucht die Organisation ausreichend belastbare Daten, die als Referenz dienen können.

Dazu werden Metriken und Kennzahlen festgelegt, mit denen die Wirksamkeit des ISMS gemessen wird. Außerdem werden Verfahren für das interne Audit und die Managementbewertung erstellt, die vor dem externen Zertifizierungsaudit durchgeführt werden.

In der letzten Phase des Zyklus wird das ISMS aufrechterhalten und verbessert. Es werden also Korrekturmaßnahmen ergriffen, um die erzielten Ergebnisse zu verbessern und so eine fortlaufende Verbesserung des Informationssicherheits-Managementsystems zu erreichen.

Diese letzte Phase entspricht Kapitel 10, Verbesserung, der hier behandelten Norm. Das Kapitel besteht aus zwei Teilen. Zum einen geht es um den Umgang mit Nichtkonformitäten, die im System festgestellt werden, sei es durch interne oder externe Audits oder durch Mitarbeitende, die bei ihrer Arbeit mögliche Mängel oder Verstöße bemerken.

Vorbeugungsmaßnahmen sind seit der Fassung von 2013 keine eigene Anforderung mehr: Diese Aufgabe übernimmt heute das Risikomanagement aus Kapitel 6.

Zum anderen muss ein Prozess der fortlaufenden Verbesserung bestehen, also eine laufende Pflege des ISMS, die Wirksamkeit und Effizienz des eingeführten Systems steigern soll.

Bei GlobalSuite Solutions unterstützt Sie unser Beratungsteam bei der Einführung eines ISMS nach ISO 27001. Es hat seit mehr als zehn Jahren Erfahrung mit solchen Projekten in Unternehmen aus den unterschiedlichsten Branchen.

Mit der Software GlobalSuite® lassen sich Verwaltung und Automatisierung der ISO 27001 vereinfachen, um Ihr ISMS zu optimieren. Dank ihrer Flexibilität erfüllt die Software auch komplexe Anforderungen einfach und bezahlbar, hilft bei der Zertifizierung nach ISO 27001 und verbessert so die Cybersicherheit des Unternehmens.