Großer Unternehmenskunde verlangt ISO 27001 von uns – was genau ist das und braucht man das wirklich?

Schreibt dem Kunden bloß nicht einfach 'haben wir nicht' und hakt es ab. Viele Großkunden geben grünes Licht auf Bewährung, wenn ihr mitteilt: 'Wir haben das ISO-27001-Projekt gestartet, anvisierter Audittermin in 6 Monaten', und dazu eure aktuellen Sicherheitsrichtlinien mitschickt.

In der aktuellen Version ISO/IEC 27001:2022 wurden die Kontrollen im Annex A auf 93 Punkte gestrafft. Für euch als Softwarebude sind vor allem Secure SDLC, Zugriffsprotokolle für Code-Repositories, Datenanonymisierung bei Tests und die strikte Trennung von Dev- und Prod-Umgebung relevant.

Wir haben das letztes Jahr in Madrid mit 11 Leuten durchgezogen. 5.000 Euro für den externen Berater, 3.500 Euro für die Zertifizierungsstelle im ersten Jahr. Hat insgesamt 5 Monate gedauert. Klingt erst mal nach viel Geld, rechnet sich bei einem 120.000-Euro-Auftrag pro Jahr aber sowas von.

Wenn ihr das nur für diesen einen Kunden macht, überlegt es euch gut. Das ist kein Zettel, den man sich einmal an die Wand hängt und fertig; jedes Jahr steht ein Überwachungsaudit an das wieder Geld kostet. Bei 9 Leuten ständig Logs zu pflegen und Risikoformulare auszufüllen, bremst die Entwickler im Alltag schon spürbar aus.

Am Anfang erschlägt einen dieser hunderte Seiten dicke Standard total. ehrlich gesagt aber wenn man einmal drin ist, merkt man schnell: Es geht eigentlich nur darum die Dinge sauber zu dokumentieren, die ein vernünftiges Dev-Team sowieso schon ungeschrieben macht.

Auf welche Daten beim Kunden habt ihr überhaupt Zugriff? Wenn ihr nur Code auf deren Servern deployt und bei euch im Büro gar keine Kundendaten rumliegen, könnt ihr den Audit-Scope einschränken und Aufwand wie Kosten locker halbieren.

hatten das gleiche mal mit nem telco-kunden und also lücken gefixt, externen pentest-bericht vorgelegt und 6 monate aufschub bekommen. schmeißt den deal nicht direkt weg.

Im spanischen Markt setzen Großunternehmen und öffentliche Einrichtungen die ISO 27001 mittlerweile als Mindeststandard für Dienstleister voraus. Die Zertifizierung verschafft Ihrem Unternehmen bei künftigen Enterprise-Pitches einen klaren strategischen Wettbewerbsvorteil.

Ich erzähle mal, was mir passiert ist vielleicht hilft es euch. Wenn wir ohne Messung entscheiden landen wir immer wieder am selben Punkt.

An deiner Stelle würde ich so vorgehen.

Teilweise stimme ich zu, teilweise nicht. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Viel Erfolg.

Ich möchte kurz warnen. Wenn der Benachrichtigungsweg lang ist kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Viel Erfolg.

Ich schreibe das, damit ihr denselben Fehler nicht macht. Ein automatisierter Scan-Report ist kein Penetrationstest.

Nur als Notiz, könnte nützlich sein.

wenn wir ins Detail gehen: Wenn der Benachrichtigungsweg lang ist kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

lösungen, die im kleinen Maßstab funktionieren brechen bei Wachstum zusammen das habe ich spät gelernt aber ehrlich gesagt nur als Notiz könnte ntüzlich sein.

Bei uns ist es genauso. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Hier muss man eine Unterscheidung treffen. Fehler auf der ISO 27001-Seite sind meist rückgängig zu machen, aber teuer.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ein Thema, das gerade aktuell ist.

Betrachtet man den Prozess, ändert sich das Bild. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Korrigiert mich, falls ich falsch liege.

So klar geschriebene Texte sind selten... Die Zeit, die ihr braucht um ein Problem zu erkennen bestimmt direkt dessen Kosten.

Aus Erfahrung weiß ich das.