Compliance-Frameworks

Compliance bedeutet, die von Gesetzen, Vorschriften oder Branchenstandards festgelegten Sicherheitsanforderungen zu erfüllen. Frameworks bieten Organisationen eine strukturierte, anerkannte Sammlung von Kontrollen, die sie umsetzen und nachweisen können.

Compliance ist nicht dasselbe wie Sicherheit, aber ein gutes Framework führt zu echten Verbesserungen.

ISO/IEC 27001 ist ein internationaler Standard für ein ISMS (Managementsystem für Informationssicherheit). Der Standard ist risikobasiert: Sie identifizieren Risiken, wählen Kontrollen aus (aus Annex A) und verbessern sich kontinuierlich.

• Die Zertifizierung wird von akkreditierten Auditoren ausgestellt.
• Der Schwerpunkt liegt auf dem Managementprozess und nicht nur auf der Technologie.

SOC 2 (System and Organization Controls) ist ein für SaaS-Anbieter üblicher Attestierungsbericht auf Grundlage der Trust Services Criteria des AICPA: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz.

• Typ I: Kontrollen, die zu einem bestimmten Zeitpunkt konzipiert wurden.
• Typ II: Kontrollen, die über einen Zeitraum hinweg wirksam betrieben wurden.

PCI DSS (Payment Card Industry Data Security Standard) gilt für jede Organisation, die Karteninhaberdaten speichert, verarbeitet oder überträgt. Der Standard ist präskriptiv und enthält konkrete Anforderungen.

• Verschlüsseln Sie Karteninhaberdaten und verwenden Sie Netzwerksegmentierung.
• Beschränken Sie den Zugriff nach dem Need-to-know-Prinzip.
• Testen und überwachen Sie regelmäßig.

Sie werden außerdem auf folgende Regelwerke stoßen:

• GDPR: Datenschutz und Privatsphäre in der EU.
• HIPAA: Gesundheitsdaten in den USA.
• NIST CSF / 800-53: US-amerikanisches Framework und Kontrollkatalog.

Viele überschneiden sich, sodass Kontrollen über mehrere Frameworks hinweg zugeordnet werden können.

Frameworks bewegen sich auf einem Spektrum:

• Risikobasiert (ISO 27001): Sie wählen Kontrollen proportional zu Ihren Risiken aus.
• Vorgabenbasiert (PCI DSS): konkrete verpflichtende Anforderungen unabhängig vom Kontext.

Wenn Sie den Typ kennen, wissen Sie, wie viel Spielraum Sie bei der Anpassung der Kontrollen haben.

Die Definition des Geltungsbereichs ist der erste praktische Schritt. Der Geltungsbereich legt fest, für welche Systeme, Daten und Prozesse das Framework gilt.

Bei PCI DSS kann eine Segmentierung den Geltungsbereich (und die Kosten) verkleinern, indem Karteninhabersysteme vom übrigen Netzwerk isoliert werden.

Frameworks organisieren Anforderungen in Kontrollen, die häufig in Familien wie Zugriffskontrolle, Kryptografie, Protokollierung und Incident Response gruppiert werden.

Für jede Kontrolle benötigen Sie eine verantwortliche Person, eine Umsetzung und Nachweise dafür, dass sie funktioniert.

Die Ergebnisse unterscheiden sich je nach Framework:

• Zertifizierung (ISO 27001): ein Bestehens- oder Nichtbestehenszertifikat von einer akkreditierten Stelle.
• Attestierung (SOC 2): ein unter einer NDA geteilter Prüfbericht mit der Stellungnahme eines Auditors.
• Validierung (PCI DSS): ein AOC und/oder ROC von einem QSA.

Compliance ist kein einmaliges Ereignis. Standards erwarten einen fortlaufenden Betrieb, regelmäßige Neubewertungen und Verbesserungen.

• ISO 27001 erfordert Überwachungsaudits.
• SOC 2 Typ II deckt einen Zeitraum von mehreren Monaten ab.
• PCI DSS erfordert vierteljährliche Scans und eine jährliche Bewertung.

Die meisten Organisationen müssen mehrere Frameworks gleichzeitig erfüllen. Erstellen Sie eine Kontrollzuordnung, damit eine gut umgesetzte Kontrolle (z. B. MFA) gleichzeitig die entsprechende Anforderung in ISO 27001, SOC 2 und PCI DSS erfüllt und doppelte Arbeit vermieden wird.

Ordnen Sie das Framework seinem Charakter zu.

Compliance-Frameworks strukturieren und belegen Sicherheit:

• ISO 27001 = risikobasierte ISMS-Zertifizierung.
• SOC 2 = Trust-Services-Attestierung für Dienstanbieter.
• PCI DSS = präskriptiver Standard für Karteninhaberdaten.
• Definieren Sie den Geltungsbereich, benennen Sie Verantwortliche für Kontrollen und ordnen Sie sich überschneidende Kontrollen zur Effizienzsteigerung zu.