Der Weg zur erfolgreichen Zertifizierung

Anbieter zum Thema

Flexera Software GmbH

Cloudgermany.de GmbH

STACKIT - Schwarz Digits Cloud GmbH & Co. KG

TÜV Rheinland Cert GmbH

Auditor prüft Einhaltung der Normvorgaben

Im März 2017 begann der Auditor des TÜV Rheinland CERT mit seiner Überprüfung. Zunächst wurden alle notwendigen Dokumente, Richtlinien und Leitlinien geprüft. Sie wurden intensiv darauf abgeklopft, ob alle geforderten Normen erfüllt werden. „Unsere intensive Vorarbeit hat sich gelohnt, denn bereits in dieser Phase war der Prüfer sehr zufrieden. Es gab keine Abweichungen, weshalb keine Nachbesserung notwendig war“, freut sich Nils Klockmann. Der Auditor hatte lediglich einige Tipps für rudimentäre Verbesserungen. Beispielsweise verfügte nicht jedes Excel-Dokument über eine Versionierung und einen Datumsstempel, was sich schnell ändern ließ. Generell hieß es aber bereits nach dieser ersten Prüfungsstufe: Hausaufgaben gemacht.

In der zweiten Auditierungs-Phase nahm sich der TÜV-Experte die Technik vor. Überprüft wurde dabei beispielsweise, wie die Vater-Gruppe den Zugang zu ihren Systemen sichert. Im Live-Betrieb wurden dem Auditor die 2-Faktor Identifizierung und die sicheren Anmelderoutinen demonstriert. Im Anschluss erfolgte die Besichtigung der Rechenzentren, bei denen auch die Zugangskontrollen präsentiert wurden. Der Datenschutzbeauftragter sowie der Personalleiter haben diesen Prüfungsabschnitt ebenfalls begleitet. Während des gesamten Zertifizierungsprozesses standen alle Bereiche, die in die Unterstützungsprozesse involviert waren, dem Auditor Rede und Antwort.

Mitarbeiter haben Sicherheitsroutinen verinnerlicht

Dabei konnte die Vater-Gruppe auch veranschaulichen, dass die Mitarbeiter sämtliche Sicherheitsroutinen verinnerlicht haben. Schließlich ist die „Awareness“ ein wichtiger Punkt auf der Zertifizierungsliste. Damit sich im Arbeitsalltag keine Nachlässigkeiten einschleichen, veranstaltet die Vater-Gruppe mit allen Mitarbeitern regelmäßig Auffrischungskurse. In Datenschutzschulung mit dem Datenschutzbeauftragen kommt dabei beispielsweise auch das sicherheitskritische Thema Social Media und die damit verbundenen Gefahren für das Unternehmen zur Sprache. Regelmäßige Sicherheitsschulungen sind auch eine Forderung der ISO-Norm und bei Vater für alle Mitarbeiter Pflicht. Kontrolliert wird die Teilnahme im Rahmen eines Trainingsplans, in dem die Schulungen für die einzelnen Mitarbeiter individuell festgehalten werden. Dafür gab’s Lob vom Prüfer.

Auf die IT-Infrastruktur und die dafür geltenden internen Sicherheitsbestimmungen warf der Zertifizierungsspezialist des TÜV ebenfalls ein kritisches Auge. Vater hat beispielsweise eine Richtlinie zum Arbeitsplatz und den verwendeten Clients aufgelegt. Darin wird u.a. dokumentiert, dass USB-Sticks oder fremde Laptops, die sich im System anmelden, automatisch mit einem Virenscanner überprüft werden. Wie das abläuft, wurde im Live-Betrieb vorgeführt.

Prüfprotokolle müssen lückenlos sein

Die Prüfprotokolle, die im Rahmen eines jährlichen internen Audits erstellt werden, sah der TÜV-Gutachter ebenfalls ein. Er kontrollierte dabei, ob die Normen eingehalten und die Protokolle auch vom internen Prüfer unterschrieben waren. Das stellt sicher, dass bei Vater lückenlos nachvollzogen werden kann, wer, wann, was geprüft hat und ob alle Vorgaben lückenlos erfüllt wurden.

In einer dynamischen IT-Umgebung, wie sie bei der Vater-Gruppe betrieben wird, erfolgen immer wieder Investitionen in neue Hardware und Software. Damit die Bestimmungen von ISO 27001 erfüllt sind, muss jede Anschaffung dokumentiert werden. Bei Vater wurde dafür eine Configuration Management Database (CMDB) aufgebaut, in der sämtliche Details zu allen Assets hinterlegt und verwaltet werden. In der Datenbank lassen sich zusammenhängende Assets mit ihren jeweiligen Seriennummern einander zuordnen. Die Überprüfung der Abhängigkeiten erfolgt heute per Mausklick. Das sei eine große Entlastung, berichtet Nils Klockmann. „Die CMDB erspart uns die aufwändige Suche in langen Inventar-Excel-Listen. Alle Abläufe sind heute wesentlich übersichtlicher, da ein rollenbasierter Zugriff möglich ist. Auch die Zugriffsberechtigungen lassen sich dank der CMDB besser zuteilen und überwachen.“ Heute habe man einen deutlich schnelleren Überblick drüber, welche Komponente welche Störung verursacht und könne Tickets rascher zuordnen und protokollieren.

Alle Beteiligten gewinnen

Bereits im Vorfeld der Zertifizierung hat die Vater-Gruppe zahlreiche Routine-Abläufe automatisiert. Deshalb profitiere man heute von optimierten und erheblich transparenteren Prozessen, erklärt Nils Klockmann. Die Dokumentationen sind ausführlicher als bisher, was die Fehlerbehebung deutlich beschleunigt. Darüber hinaus liegen die Zuständigkeitsbereiche und die Aufgabengebiete im Detail vor, was die Kommunikation zwischen allen Beteiligten erleichtert. Insgesamt sei der Arbeitsalltag in der IT aufgrund der Optimierungen, die der Zertifizierungsprozess mit sich brachte, heute wesentlich entspannter und daher auch mit einem kleinen Team zu stemmen, so der IT-Fachmann.

Auch die Kunden profitieren durch die im Mai 2017 erteilte Zertifizierung nach ISO 27001. Im Vordergrund steht dabei die Sicherheit. Hinzu kommt aber auch, dass die Vater-Gruppe heute eine Reihe von hilfreichen Zusatzservices bereitstellen kann. Dazu gehört ein verbessertes Reporting, das dem Kunden detailliertere Informationen über seine IT-Landschaft, die Anwender sowie die Lizenzen bietet. Auch bei der Planung der Infrastruktur kann Vater die Nutzer der BusinessCloud heute besser unterstützen. Die Analysen ermöglichen optimierte Voraussagen über die IT-Nutzung. So wird ein Kunde rechtzeitig informiert, wenn seine Ressourcen an ihre Kapazitätsgrenzen stoßen. Die Berichte zeigen aber auch, ob die Auslastung geringer ist und die gebuchten Ressourcen heruntergefahren oder umgeschichtet werden können. Dadurch spart der Kunde bares Geld. Dank des ISMS, das im Zuge der ISO 27001 Zertifizierung implementiert wurde, profitieren heute sowohl die Vater-Gruppe, als auch deren Kunden von optimierten und transparenten IT-Prozessen. Win-Win auf der ganzen Linie.

ERP-System von Butzkies läuft in der Business Cloud der Vater-Gruppe

SAP in der Cloud ist eine attraktive Alternative für den Mittelstand

(ID:45195552)