ISO 27004

Auch die ISO 27004 liefert eine Hilfestellung, um einen bestimmten Teil der ISO 27001 umzusetzen.

Was beinhaltet die ISO 27004?

Die ISO 27004 trägt den Namen Information technology — Security techniques — Information security management — Measurement und behandelt also die Messung des ISMS. Dieser Punkt ist in der ISO 27001 unter 9.1 enthalten. Die ISO 27004 beschreibt also eine Möglichkeit diesen Punkt der ISO 27001 umzusetzen, aber keine zwingende Voraussetzung für eine Zertifizierung nach ISO 27001 (wie die anderen unterstützenden Normen auch).

Die Inhalte kreisen dabei um den Aufbau und den Betrieb eines Messsystems für ein ISMS, also wie Kennzahlen festgelegt und erhoben werden. Außerdem werden Themen des Reportings beschrieben.

Eine beispielhafte Kennzahl für ein ISMS wäre die Anzahl der durchgeführten Sensibilierungs- und Schulungsmaßnahmen und der Anteil der Mitarbeiter, welche teilgenommen haben, gemessen an der Gesamtmitarbeiterzahl.