Das Wichtigste in Kürze
- Control 8.8 (Management of technical vulnerabilities): Verlangt die systematische Identifikation, Bewertung und Behebung von Schwachstellen in allen Informationssystemen.
- Schluss mit reiner Papier-Sicherheit: Auditoren begnügen sich nicht mehr mit Richtlinien; sie verlangen Auditberichte, Re-Test-Nachweise und Messdaten zur Behebungszeit.
- Suisse IT Vorbild: Die Suisse IT GmbH betreibt ihr eigenes ISMS zertifiziert nach ISO/IEC 27001:2022 durch die akkreditierte Swiss Safety Center AG.
- Prüfnachweis für Ihr Audit: Das Suisse Guard Dossier mit nachgewiesener Nachprüfung erfüllt alle Anforderungen von Control 8.8 und Control 8.25.
1. Die Wende in der ISO 27001:2022
Früher galt ISO 27001 oft als bürokratisches Dokumentenmonster: Wer schöne Handbücher und Prozesse vorlegte, bestand das Audit, selbst wenn die Firewall veraltete Software nutzte. Die Version 2022 der Norm (Anhang A) hat mit diesem Missstand aufgeräumt. Von den 93 Controls fokussieren 34 direkt auf technologische Sicherheitsmassnahmen.
2. Die entscheidenden Controls für technische Prüfungen
Control 8.8: Handhabung technischer Schwachstellen (Management of technical vulnerabilities)
Die Norm verlangt unmissverständlich: Eine Organisation muss zeitnah Informationen über technische Schwachstellen ihrer Systeme beschaffen, die Exposition bewerten und angemessene Massnahmen ergreifen. Ohne regelmässige, unabhängige Schwachstellenanalysen oder Penetrationstests kann dieses Control bei einem Zertifizierungsaudit nicht positiv bewertet werden.
Control 8.25: Sichere Entwicklungszyklen (Secure development life cycle)
Wer eigene Software oder Kundenportale entwickelt, muss Sicherheitsprüfungen vor der Bereitstellung in der Produktion nachweisen (Applikations-Pentests nach OWASP Top 10).
Control 8.20: Netzwerksicherheit (Network security)
Regelmässige Überprüfung der Segmentierung, VPN-Konfigurationen und Firewall-Regelwerke.
| Audit-Frage des Zertifizierers | Ungenügender Nachweis (Major Finding) | Gültiger Nachweis mit Suisse Guard |
|---|---|---|
| «Wie identifizieren Sie Schwachstellen an Ihren externen Systemen?» | «Unser IT-Dienstleister installiert regelmässig Windows-Updates.» | Vollständiges Inventar der Aussenfläche aus der Suisse Guard Bedrohungsanalyse (12 Prüfbereiche). |
| «Wie stellen Sie sicher, dass entdeckte Lücken behoben wurden?» | «Wir haben dem Dienstleister eine E-Mail geschickt.» | Dokumentiertes Nachprüfungsprotokoll (Re-Test) von Suisse Guard mit Bestätigung der Schliessung. |
| «Welche Kompetenz besitzt Ihr Prüfdienstleister?» | «Ein Bekannter hat mit Kali Linux gescannt.» | Zertifikat der Suisse IT GmbH, selbst zertifiziert nach ISO/IEC 27001:2022 durch die Swiss Safety Center AG. |
3. Schweizer Zertifizierungsstellen im Fokus
In der Schweiz werden akkreditierte ISO-27001-Audits primär durch renommierte Stellen wie die Swiss Safety Center AG oder die Schweizerische Vereinigung für Qualitäts- und Management-Systeme (SQS) abgenommen. Diese Auditoren legen grossen Wert auf Praxiswirksamkeit. Ein Prüfbericht von Suisse Guard, der die Behebung aller kritischen Punkte nachweist, beschleunigt den Auditprozess erheblich.
4. Schritt-für-Schritt zur auditfesten Dokumentation mit Suisse Guard
- Erstprüfung durchführen: Durchführung der Bedrohungsanalyse der gesamten Angriffsfläche.
- Erstellung des Massnahmenplans: Dokumentation der Befunde mit Risikoeinstufung gemäss CVSS und Angabe von Behebungsfristen (SLA).
- Umsetzung & Behebungsnachweis: Technische Behebung durch Ihr IT-Team oder Ihren Systempartner.
- Formale Nachprüfung (Re-Test): Bestätigung der geschlossenen Befunde im Nachprüfungsbericht.
- Zertifikatsausstellung: Übergabe des Suisse Guard Sicherheitszertifikats als direkter Konformitätsbeleg für den ISO-Auditor.
Bereiten Sie Ihre ISO 27001 Zertifizierung vor?
Erfüllen Sie die Controls 8.8 und 8.20 mühelos mit der Suisse Guard Bedrohungsanalyse zum Festpreis.
