Startseite / Freiwilliger Standard
Freiwilliger Standard
ISO-27001-Mapping
ISO 27001 kann die Kartierung erleichtern, doch eine Zertifizierung allein erfüllt nicht jede Kundenverpflichtung.
Auswirkung dieser Anforderung
Diese Regel ist nicht isoliert zu lesen.
- Übermittlungen
- Bilaterale Beziehung
- Länderquellen überprüft am
Annahmen, Grenzen und Quellen dieser Einschätzung
Lesepunkt
Das Zertifikat ist ein Baustein, nicht das gesamte Dossier
Ihr Umfang und ihre Grenzen bleiben gegenüber der genauen Kundenanforderung sichtbar.
- Kundenanforderung mit relevanten Kontrollen verknüpfen
- Den genauen Geltungsbereich des Zertifikats einhalten
- Technische Ausnahmen identifizieren
- Ein Mapping nicht in eine Bescheinigung verwandeln
Zuordnungsmatrix
ISO 27001 als Rahmenwerk nutzen, ohne Kontrolle, Zertifikat und Kundenzusage zu verwechseln.
Kundenanforderung
Der Wortlaut und sein Geltungsbereich bleiben maßgeblich.
Relevante ISO-Kontrolle
Die Korrespondenz hilft, die Recherche zu strukturieren, liefert aber allein keine Schlussfolgerung.
Zertifizierter Geltungsbereich
Einrichtungen, Standorte, Dienste und Ausschlüsse des Zertifikats werden geprüft.
Ergänzender Nachweis
Die kundenspezifischen Elemente ergänzen, was das Zertifikat nicht belegt.
Entscheidungspfad
ISO 27001 präzise nutzen, ohne zu überversprechen
Das Mapping strukturiert die Suche nach Unterstützung; es macht weder eine benachbarte Kontrolle noch ein begrenztes Zertifikat zu einer universellen Antwort an den Kunden.
01Aussage des Kunden
Die Anforderung in ihrem genauen Wortlaut, ihrem vertraglichen Kontext und dem Leistungsumfang, für den sie gilt, bewahren.
02Begründete Korrespondenz
Erklären, warum eine Kontrolle des Managementsystems zur Antwort beiträgt und welche operativen Elemente noch zu prüfen sind.
03Geltungsbereich des Zertifikats
Entitäten, Standorte, Tätigkeiten, Ausschlüsse, Standardversion und Gültigkeit prüfen, bevor die Zertifizierung angeführt wird.
04Ergänzender Nachweis
Dienstspezifische Konfigurationen, Stichproben, Protokolle oder Entscheidungen ergänzen, wenn das Zertifikat die erwartete Aussage nicht belegt.
Das Referenzwerk präzise anwenden
Was das Mapping ermöglicht, was noch zu klären ist und welche Abkürzungen zu vermeiden sind.
Zu behandelnde Fragen
- „Sind Sie ISO-27001-zertifiziert?“ — und falls nicht, warum
- Der genaue Geltungsbereich des Zertifikats, sofern vorhanden
- Die Übereinstimmung zwischen ihren Anforderungen und Ihren Kontrollen
- Was die Zertifizierung bei Ihnen nicht abdeckt
Elemente, die die Antwort stützen
- Aktuelles Zertifikat und Anwendbarkeitserklärung
- Schriftlich fixierter Geltungsbereich (Einheiten, Standorte, Dienstleistungen)
- Zuordnungstabelle Kundenanforderung → Kontrolle
- Nachweise der Durchführung zentraler Kontrollen, nicht nur ihre Beschreibung
Zu vermeidende Verwechslungen
- Das Zertifikat als universelle Antwort auf den Fragebogen darstellen
- Den Eindruck erwecken, der Geltungsbereich umfasse Dienste, die er ausschließt
- Sich für einen Markt zertifizieren, der in Wirklichkeit operative Nachweise verlangte
- Übersehen, dass manche Kunden beides verlangen: Zertifikat und Nachweise
Nachweisdossier, AU-041Demonstrationsbeispiel
Angekündigter GeltungsbereichVerwaltung von Austritten und privilegierten KontenFeststellung
Angegebenes VerfahrenDeaktivierung innerhalb von 24 Stunden, von der Sicherheit validiertFeststellung
Wiederholung des Gesprächs„Wir schicken dem Admin eine E-Mail, wenn wir daran denken“Feststellung
Festgestellte AbweichungDie Praxis widerspricht dem Verfahren, das gezeigt werden sollAbweichung
AuswirkungAm Audittag nahezu sichere FeststellungAbweichung
MaßnahmeDen HR→IT-Fluss wiederherstellen und die Befragten über den tatsächlichen Sachverhalt briefenEntscheidung
Lesart der FarbenSachverhaltsfeststellungAbweichung oder RisikoEntscheidung oder Maßnahme
Demonstration
Das Zertifikat verwenden, ohne mehr davon zu verlangen, als es seinem Geltungsbereich nach leisten kann.
Der Fall geht von der Aussage des Kunden aus, prüft die Übereinstimmung mit der Kontrolle und ergänzt den dienstespezifischen Nachweis, wenn das Zertifikat zu allgemein bleibt.
Die Qualifizierung eines Nachweises verstehen →Diese Betrachtung anwenden
Den zertifizierten Geltungsbereich mit der genauen Anforderung des Kunden abgleichen.
Die genaue Kundenanfrage und das Zertifikat mit seinem Geltungsbereich ermöglichen es, zu erkennen, was bereits abgedeckt ist und welcher ergänzende Nachweis noch zu erbringen ist.