Großer Firmenkunde verlangt ISO-27001-Zertifikat – schaffen wir das ohne Berater selbst?

Wir sitzen in Dschidda, 18-köpfiges Team, haben das Ganze letztes Jahr durchgezogen. Haben 38.000 SAR für die Beratung und 18.000 SAR an die Auditoren gezahlt. Hat auf den Punkt 5,5 Monate gedauert. Hätten wir das alleine gemacht, hätte unser DevOps-Lead 3 Monate lang keinen Code angefasst – das wäre unterm Strich deutlich teurer geworden.

Ladet das bloß nicht auf dem DevOps ab. Bei ISO 27001 geht es eben nicht nur um Firewalls oder Verschlüsselung. HR-Onboarding, physische Bürosicherheit, Dienstleisterverträge und Asset-Management machen mehr als die Hälfte der Norm aus. Ein Entwickler implementiert die technischen Controls, bleibt aber bei der Prozessdokumentation hängen.

Passt bei der Beraterauswahl höllisch auf. Viele klatschen euch für 40.000 SAR nur generische Word-Vorlagen hin. Wenn der Auditor dann fragt: „Wer lebt diese Richtlinie im Alltag?“ schaut das Team nur dumm aus der Wäsche. Sucht jemanden, der die Prozesse mit euch zusammen aufbaut, keinen reinen Template-Verkäufer.

wir wollten das anfangs auch mit vorlagen aus dem netz selber machen nach 2 monaten komplett im papierkram erstickt. als der auditor in stufe 1 alles zerlegt hat mussten wir eh nen berater holen. wenn ihr die 6 monate halten müsst lasst die experimente lieber.

Wenn der Auftraggeber ein halbstaatliches Unternehmen in Saudi-Arabien ist: Reicht wirklich ISO 27001 oder wird zusätzlich Konformität mit den NCA ECC (Essential Cybersecurity Controls) verlangt? Prüft die Ausschreibungsunterlagen genau. Bei öffentlichen Aufträgen sind die NCA-Vorgaben teils strenger als die ISO-Norm; das solltet ihr direkt vorab mit dem Berater abklären.

Wichtiger Hinweis zu den Regularien: Beratung und Zertifizierungsaudit dürfen keinesfalls durch dasselbe Unternehmen oder verbundene Partner erfolgen, das verstößt gegen gängige Akkreditierungsrichtlinien. Vergewissern Sie sich bei der Auswahl, dass die Auditoren über eine anerkannte Akkreditierung verfügen (z. B. IAS, UKAS oder konform mit SASO).

Erster Schritt: Scope radikal begrenzen. Nicht das gesamte Unternehmen zertifizieren lassen, sondern nur die Entwicklungsumgebung und die Infrastruktur der Software, die der Kunde nutzt. Je kleiner der Scope, desto weniger Assets müssen auditiert werden – spart enorm viel Zeit und Beraterkosten.

Du hast recht. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Wenn ihr das Ergebnis hier postet hilft es auch anderen.

Ich habe mich lange damit beschäftigt. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

das hört man oft aber bei uns war es nie so. halt scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

das ist meie Meinung ich behaupte nicht, dass es absolut richtig ist.

Bei uns war es so. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Wenn es jemand anders macht, würde mich das auch interessieren.

Ich erzähle mal, was mir passiert ist, vielleicht hilft es euch. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Wenn deine Situation anders ist, ändert sich das natürlich.

Hier muss man eine Unterscheidung treffen. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Wenn es jemand anders macht, würde mich das auch interessieren.

Hier muss man eine Unterscheidung treffen. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Aus Erfahrung weiß ich das.

Du hast recht, ich bin denselben Weg gegangen. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

An deiner Stelle würde ich so vorgehen.

Dabei gibt es einen sehr häufigen Fehler. Ein automatisierter Scan-Report ist kein Penetrationstest.

Korrigiert mich, falls ich falsch liege.

Ich möchte etwas fragen. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle sondern mit einem geleakten Passwort.

Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen das habe ich spät gelernt. naja korrigiert mich, falls ich falsch liege.

Kannst du das etwas genauer erklären? naja dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Nur als Notiz, könnte nützlich sein.