Data Guardians ist nun offizieller Partner des Schweizer Cyber-Safe-Labels, einem Cybersicherheitslabel für KMU und Gemeinden. Dies bietet Anlass, eine Frage zu beantworten, die uns unsere Kunden häufig stellen: Ist es besser, in ein Label oder eine Cybersicherheitszertifizierung zu investieren? Die Antwort ist relativ einfach: Es handelt sich um zwei unterschiedliche, aber sich ergänzende Ansätze, und Ihre Organisation benötigt wahrscheinlich beide.
Warum diese Partnerschaft?
Das 2018 gegründete und von der Schweizerischen Vereinigung für das Cyber-Sicherheitslabel (ASLaC) getragene Cyber-Safe-Label wird vom Bund anerkannt: Cyber-Safe ist Umsetzungspartner der Nationalen Cyberstrategie des Bundesamts für Cybersicherheit (BACS).
Als offizieller Label-Partner ist Data Guardians in drei entscheidenden Phasen tätig: bei der initialen Gap-Analyse im Hinblick auf die Anforderungen des Labels, bei der Begleitung zur Erfüllung der Label-Anforderungen und schliesslich bei der Umsetzung allfälliger von den Auditoren identifizierter Korrekturmassnahmen.
Dieser Ansatz ergänzt auf natürliche Weise unsere Begleitung zur ISO-27001-Zertifizierung. Wie unser CEO Mahandry Rambinintsoa es zusammenfasst: „Die beiden Ansätze ersetzen einander nicht, sondern verstärken sich gegenseitig. ISO 27001 strukturiert die Governance der Informationssicherheit, Cyber-Safe stellt die Organisation in der Praxis auf die Probe.“
Label oder Zertifizierung: Was sind die Unterschiede?
Die Verwechslung ist nach wie vor häufig, auch in den Verwaltungsräten Schweizer Organisationen. Wir möchten hier für Klarheit sorgen.
Eine Zertifizierung wie ISO 27001 bestätigt, dass ein Managementsystem vorhanden ist und gesteuert wird. Der Auditor beurteilt risikobasiert, ob die Massnahmen dem Kontext der Organisation angemessen sind: Sein Ermessensspielraum ist real, und zwei Unternehmen können mit unterschiedlichen Vorkehrungen konform sein. Sie ist ein Nachweis einer funktionierenden Governance, der 3 Jahre gültig ist und jährliche Überwachungsaudits umfasst.
Ein Label wie Cyber-Safe stellt hingegen Ergebnisse fest. Jede konkrete und vordefinierte Anforderung ist erfüllt oder nicht erfüllt: Es gibt nur Schwarz oder Weiss, der Auditor setzt einen Haken oder nicht. Es ist ein Nachweis aus der Praxis und 2 Jahre gültig.
Der eigentliche Unterschied: Die Zertifizierung bewertet die Angemessenheit eines Systems (mit Ermessensspielraum), während das Label die Erfüllung festgelegter Kriterien überprüft (ohne Verhandlungsspielraum).
Keines von beiden steht daher «über» dem anderen, da sie nicht dasselbe messen: Das eine überprüft, ob die Sicherheit konzipiert und gesteuert wird, das andere, ob sie sich in der Praxis bewährt und wirksam ist.
Was wird konkret überprüft?
Um die konkreten Anforderungen dieser beiden Optionen besser zu verstehen, bietet Data Guardians den folgenden Vergleich:
| ISO/IEC-27001-Zertifizierung | Cyber-Safe-Label | |
|---|---|---|
| Art | Internationale Norm für ein Informationssicherheits-Managementsystem (ISMS) | Schweizer Cybersicherheitslabel, getragen von der ASLaC |
| Philosophie | Wird die Sicherheit gesteuert, dokumentiert und kontinuierlich verbessert? | Verfügt die Organisation aktuell über ein grundlegendes Sicherheitsniveau? |
| Bewertungslogik | Systemaudit: Prozesse, Dokumentation, Nachweise für die Umsetzung | Überprüfung der Einhaltung jedes vom Label festgelegten Sicherheitskriteriums |
| Beispiel: Schwachstellenmanagement | Ein Prozess für das Schwachstellenmanagement ist erforderlich, wird angewendet und auditiert | Das Verfahren ist unerheblich: Interne und externe Scans werden durchgeführt, für die Ergebnisse sind Schwellenwerte festgelegt, die nicht überschritten werden dürfen |
| Beispiel: Sensibilisierung | Ein Sensibilisierungsprogramm ist erforderlich | Phishing-Kampagnen werden innerhalb eines vorgegebenen Zeitraums durchgeführt; für die Ergebnisse sind Schwellenwerte festgelegt, die nicht überschritten werden dürfen |
| Gültigkeit | Zertifikat 3 Jahre gültig, jährliche Überwachungsaudits | Label 2 Jahre gültig; die Anforderungen werden beim nächsten Audit verschärft |
| Anerkennung | Internationaler Referenzstandard, häufig vertraglich gefordert (IT, Finanzen, Gesundheitswesen …) | Vom Bund anerkannt (Umsetzungspartner der Nationalen Cyberstrategie des BACS), von bestimmten Versicherungen und Branchenverbänden unterstützt |
| Bevorzugte Zielgruppe | Organisationen jeder Grösse und aus allen Branchen | KMU und Gemeinden (bisher wurden Organisationen mit 3 bis 248 Mitarbeitenden zertifiziert) |
| Was es nachweist | Eine durchdachte, strukturierte und nachhaltige Sicherheit | Eine in der Praxis erprobte und wirksame Sicherheit |
Wie ergänzen sie sich?
Ein ISO-27001-Zertifizierungsaudit bewertet Ihr Managementsystem, nicht Ihre Angriffsfläche. Der Auditor führt im Rahmen des Audits weder Schwachstellenscans noch Phishing-Kampagnen durch. Eine nach ISO 27001 zertifizierte Organisation kann daher zu einem bestimmten Zeitpunkt kritische, ausnutzbare Schwachstellen aufweisen.
Umgekehrt bildet das Cyber-Safe-Label einen soliden Sicherheitsstatus zu einem bestimmten Zeitpunkt ab, strukturiert jedoch nicht die Governance über einen längeren Zeitraum. Risikomanagement, Steuerung und kontinuierliche Verbesserung sind Kernelemente von ISO 27001.
Genau aus diesem Grund ergänzen sich die beiden Ansätze und verstärken sich gegenseitig. Der eine ohne den anderen kann bestimmte Lücken hinterlassen. Gemeinsam bieten sie Ihren Kunden, Interessenten und Ihrer Geschäftsleitung das, was sie tatsächlich verlangen: eine gesteuerte UND nachgewiesene Sicherheit.
Wie kann Data Guardians Sie unterstützen?
Unser Team begleitet Sie entlang des gesamten Weges: Vorbereitung auf das Cyber-Safe-Label und Umsetzung der Korrekturmassnahmen, Begleitung zur ISO-27001-Zertifizierung, Sensibilisierung und Phishing-Kampagnen mit DG Learning, kontinuierliche Steuerung durch unsere Managed Services für DPO, CISO & ISMS Manager sowie durch unser Tool für Governance, Risk & Compliance: DGRC.
Sie fragen sich, mit welchem der beiden Ansätze Sie beginnen sollten oder wie Sie sie miteinander verbinden können? Sprechen wir darüber.
