03605 Zertifizierung von Informationssicherheit
|
Die wachsende Zahl der für Informationssicherheit angebotenen Bescheinigungen führt mittlerweile zu einer großen Unsicherheit bezüglich der Eignung solcher Zertifikate für die jeweils beabsichtigten Zwecke. Der Artikel bietet daher eine systematische Sammlung aktueller Zertifizierungen für IT-Umgebungen mit dem Fokus auf Informationssicherheit und Datenschutz. Darüber hinaus werden die Grundlagen zu diesen Zertifikaten vorgestellt und deren Aussagekraft kritisch hinterfragt sowie die typischen Kosten und Aufwendungen und die Nutzenpotenziale für die Unternehmen aus dem Zertifizierungsprozess und den Bescheinigungen dargestellt. von: |
1 Verwendung von Zertifizierungen zur Informationssicherheit
Wer sich mit dem Thema Informationssicherheit beschäftigt, tut das wahrscheinlich bereits mit einer bestimmten Zielvorstellung. Entweder sucht man aktiv nach Richtlinienvorgaben für die interne Prozessoptimierung, oder, was zum Regelfall für IT-Dienstleister zu werden scheint, man wurde mit einer externen Anforderung über eine Bestätigung zur eigenen Leistungserbringung konfrontiert und sucht nun nach einer Lösung. Viele externe Anfragen geben allerdings bereits eine bestimmte Zertifizierung vor, ohne die vielfältigen Möglichkeiten in diesem Umfeld zu kennen.
Die Kenntnis der Materie ist daher nicht nur für Unternehmen mit Zertifizierungswunsch relevant, sondern genauso für die Nachfrager solcher zertifizierten IT-Leistungen. Nicht geeignet sind die Ausführungen allerdings für Unternehmen, die eine Zertifizierung ausschließlich als Marketingmaßnahme sehen. Nachfolgend soll daher eine für Anbieter und Nachfrager verwendbare, zielorientierte und systematische Auswahl für eine IT-Betriebszertifizierung unterstützt werden, indem auch die Aussagekraft solcher Zeugnisse hinterfragt und beurteilt wird.
2.1 Abgrenzung nach Zertifizierungsobjekten
Da sich die nachstehenden Betrachtungen auf unternehmensspezifische Zertifizierungen der informationstechnischen Prozesse und der IT-Infrastrukturen beschränken sollen, werden personen- oder sachorientierte Auszeichnungen nicht näher untersucht. Das Objekt der Beurteilung ist in solchen Fällen nicht die Leistungserbringung einer IT-Einheit, sondern es werden bestimmte Qualitäten von Personen oder von Gegenständen untersucht. Ein paar Hinweise dazu mögen dennoch erlaubt sein.
