Die Zertifizierung in der Informationssicherheit

Zusammenfassung

Der Beitrag zeigt die Entwicklung der Zertifizierung speziell im Bereich der Informationssicherheit auf. Beginnend mit der Forderung nach Industriestandards entstanden schon gegen Ende des 17. Jahrhunderts die ersten Vorrichtungen für eine Serienfertigung. Die eigentliche Normung wurde dann 1901 in England gestartet – Deutschland folgte mit dem „Institut für Normung“ in Berlin.

Die Entwicklung der Normen war in den Folgejahren rasant und wurde international betrieben. Parallel entwickelten sich diverse Managementsysteme die ihrerseits als Basis der eigentlichen Zertifizierungen gelten können. In den letzten Jahren wurde das Thema Informationssicherheit immer wichtiger, was auch durch die bekanntgewordenen Fälle von Datenabschöpfung in Industrie, Dienstleistung und Politik dokumentiert ist.

Die ISO 27001 (ISMS) und der IT-Grundschutz des BSI in Bonn bilden heute die Management-Grundlagen für eine Absicherung der Unternehmen. Aus England kam zusätzlich noch ITIL. Es stellt den de-facto Standard für abteilungsübergreifende Geschäftsprozesse dar. Die Erfahrungen mit der NSA und anderen „Spähern“ haben die Gefährdungen und mögliche Schutzmaßnahmen gegen Cyber-Kriminalität in den Mittelpunkt der Aufmerksamkeit gerückt.

Die Zertifizierungen der Managementsysteme selber werden durch viele kleine und einige große Zertizierungsgesellschaften und ihre Auditoren betrieben. Dabei ist die Integration der Systeme (wie ISO 9001, ISO 20000 und ISO 27001) ein durchaus sinnvoller Weg. Die Zertifizierungen selbst bilden die Basis für gute, gleichbleibende Qualität, Vertrauen der Kunden in die Unternehmen und die Informationssicherheit in Betrieben und Verwaltungen.