ISO 27018

Inhalt

• Überblick über die Normenfamilie

• Struktur der ISO/IEC 27018:2014•

• Die Norm im Einzelnen

• Schnittmenge zum Datenschutz•

• Kritische Würdigung

Inhalt

• Überblick über die Normenfamilie• Struktur der ISO/IEC 27018:2014 • Die Norm im Einzelnen• Schnittmenge zum Datenschutz• Kritische Würdigung

ISO 27xxx und andere Managementnormen

• Basiert auf den Anhang SL (vormals „Guide 83“).

• Der Anhang SL stellt einen Leitfaden für Verfasser dar. Er bietet einen standardisierten Text für alle ISO-Management-System-Standards.

• Warum?

• Vereinheitlichung von Terminologien und Anforderungen für grundlegende Management System Anforderungen.

• Einfache Integration zukünftiger Revisionen.

• Gleicher Aufbau auch bei den aktuellen ISO 9001/14001/50001

� � � � � � � � �

ISO 27xxx

• ISO/IEC 27000 enthält Begriffe und Definitionen, welche in der Normenserie ISO/IEC 27xxx verwendet werden.

• ISO/IEC 27001 enthält die Anforderungen an ein ISMS.• Nur gegen diese Norm darf zertifiziert werden!

• ISO/IEC 27002 enthält Empfehlungen für diverse Kontrollmechanismen für die Informationssicherheit.• Entspricht dem Anhang A der ISO 27001, Analogie zu den technischen

und organisatorischen Sicherheitmaßnahmen, BSI GrundschutzMaßnahmenkatalog

� � � � � � � � �

ISO 27xxx

• ISO/IEC 27003 enthält einen Leitfaden zur Umsetzung der ISO/IEC 27001

• ISO FCD 27004 „Information Security Management Measurement“

• ISO FCD 27005 behandelt das Thema IS Risikomanagement

� � � � � � � � �

ISO 27xxx

• ISO/IEC 27006 Information technology - Security techniques -Requirements for bodies providing audit and certification of informationsecurity management systems regelt die Kriterien, nach denen Stellen arbeiten müssen, die Informationssicherheits- und Managementsysteme nach ISO/IEC 27001 auditieren und zertifizieren wollen.

• ISO/IEC 27007 Information technology - Security techniques - Guidelines for information security management systems auditing

• ISO/IEC TR 27008 Information technology - Security techniques -Guidance for auditors on information security management systemscontrols.

� � � � � � � � �

ISO 27xxx

• ISO 27010-19 Branchenspezifische Ergänzungen zur ISO 27002• Ausnahme ISO 27799 Gesundheitswesen

• ISO 27030-44 technische Spezifika wie BCM, Cybersecurity, etc.

� � � � � � � � �

Inhalt

• Überblick über die Normenfamilie• Struktur der ISO/IEC 27018:2014 • Die Norm im Einzelnen• Schnittmenge zum Datenschutz • Kritische Würdigung

Struktur der ISO/IEC 27018:2014

• Einteilung in 18 Kapitel!• Davon Kapitel 5 – 18 inhaltlich maßgeblich• Im Wesentlichen Referenzierung auf ISO 27002 rel. Kapitel, z.T. mit

kurzer zusätzlicher Beschreibung und Bezugnahme zum Clouddienst und der Umsetzung des Datenschutzes in der Cloud

• Normativer Anhang A (national)• Inhaltlich interessanterer und wesentlicherer Teil

� � � � � � � � �

Inhalt

• Überblick über die Normenfamilie• Struktur der ISO/IEC 27018:2014 • Die Norm im Einzelnen• Schnittmenge zum Datenschutz • Kritische Würdigung

Struktur der ISO/IEC 27018:2014

• Ausgewählte Kapitel im Einzelnen:

• Kapitel 0• Ausführlicher Text zum Hintergrund und Kontext der Norm• Im Wesentlichen wird auf die allgemeinen Anforderungen bei der

Verwendung öffentlicher Clouds mit pbDaten eingegangen

• Kapitel 1• Anwendungsbereich der Norm: Öffentliche-Cloud-Umgebung • Speicherung von pbDaten in dieser Umgebung

� � � � � � � � �

Struktur der ISO/IEC 27018:2014

• Ausgewählte Kapitel im Einzelnen:

• Kapitel 4 Aufbau der Norm• Ausformulierter Bezug zur ISO 27002 und tabellarische Darstellung

• Kapitel 5 Informationssicherheitsrichtlinien

• Kapitel 6 Organisation der Informationssicherheit

� � � � � � � � �

Struktur der ISO/IEC 27018:2014

• Ausgewählte Kapitel im Einzelnen:

• Kapitel 15 Lieferantenbeziehungen

• Kapitel 18 Regelkonformität

� � � � � � � � �

Maßnahmen (ISO/IEC 27002/18) � � � � � � � � �

Inhalt

• Überblick über die Normenfamilie• Struktur der ISO/IEC 27018:2014 • Die Norm im Einzelnen• Schnittmenge zum Datenschutz • Kritische Würdigung

Schnittmenge zum Datenschutz

• Inhaltlich sehr hoch, da die Norm sich ausdrücklich um die Umsetzung technischer und organisatorischer Maßnahmen bei der Verarbeitung von pbDaten in der öffentlichen Cloud befasst.

• ABER: Die Norm stammt aus dem Jahr 2014 und entspricht somit nicht durchgängig den Anforderungen der EU-DSGVO.

Autor: SchröderStand: 25.04.2018

Urheberrecht: Verimax GmbHwww.verimax.de

Blatt 17

Inhalt

• Überblick über die Normenfamilie• Struktur der ISO/IEC 27018:2014 • Die Norm im Einzelnen• Schnittmenge zum Datenschutz • Kritische Würdigung

Kritische Würdigung

• Die Normenreihe versucht Sektor-/Branchen spezifischer(e) Maßnahmen zu definieren

• Dies gelingt m.E. nur teilweise und greift nur bedingt Neues mit auf.

• Zudem gelingt es den Normengebern i.d. Regel nicht uptodate zu bleiben. Spezielle Anforderungen der DSGVO sind noch nicht enthalten/berücksichtigt.

• Für eine Zertifizierung kann diese Norm eine Hilfestellung sein. Eine inhaltliche Ausgestaltung beim Anwender muss jedoch sorgfältig geprüft und abgewogen werden.

• Aussagen wie: „Wir sind nach ISO 27018 zertifiziert“, sollten die Alarmglocken läuten lassen. Eine Zertifizierung kann nur nach der ISO 27001 i.V. mit der ISO 27018 erfolgen!

Autor: SchröderStand: 25.04.2018

Urheberrecht: Verimax GmbHwww.verimax.de

Blatt 19

� � � � � �

Diskussion und Fragen

Stefan Staubstefan.staub@verimax.de

www.verimax.de

Vielen Dank für Ihre Aufmerksamkeit

� � � � � �