Januar, 2022

Ein Interview mit idealworks’ CISO, Peter Mansour

Das Jahr wird vielversprechend und startet mit ausgezeichneten Neuigkeiten:
Eine längere Phase umfangreicher Audits und Prüfungen ist zu Ende und hat sich ausgezahlt: idealworks ist jetzt IOS/IC 27001:2013 zertifiziert. Der internationale Standard garantiert durch Spezifikationen für Best Practice Managementsysteme für Informationssicherheit, dass die Sicherheitsinfrastruktur des Unternehmens höchsten Standards entspricht. Dadurch werden Sicherheitsrisiken für alle Mitarbeiter, Kunden und Partner minimiert.

idealworks ist ISO/IEC 27001-konform und erfüllt damit die strengen Anforderungen der Informationssicherheit im Bereich der industriellen Automatisierung. Im Interview gibt Peter Mansour, Chief Information Security Officer von idealworks, Einblick, wie er das Unternehmen auf das ISO 207001 Audit vorbereitet hat.

Peter, erzähl mal, wer oder was ist eigentlich ISO und ISO 27001?

ISO/IEC 27001:2013 – auch bekannt als ISO 27001 – ist einer der bekanntesten und international anerkanntesten Standards, um Informationssicherheit zu managen.

Dieser legt die Anforderungen für die Einrichtung, Implementierung, Wartung sowie die kontinuierliche Verbesserung unseres Informationssicherheits-Managementsystems (ISMS) fest. So wird garantiert, dass die Sicherheitsinfrastruktur von idealworks den höchsten Standards entspricht – 24 Stunden am Tag, 365 Tage im Jahr.

ISO 27001 ist ein Sicherheitsstandard, der vorgibt, wie eine Organisation Informationen sicherer verwalten und behandeln sollte. Er wird von der unabhängigen, nicht staatlichen International Organization for Standardization, ISO, entwickelt und gepflegt.

Was waren für idealworks die Gründe, das ISO 27001-Zertifikat zu beantragen?

Informationssicherheit ist einer der wichtigsten Qualitätsaspekte von Software. Dieses Zertifikat ist also der Schlüssel, um als Softwareanbieter vertrauenswürdig zu sein und zu bleiben. Wir beweisen unseren Kunden damit, dass der Schutz ihrer Daten ein Herzensanliegen von uns ist. In gemeinsamen Gesprächen wird die Bedeutung von ISO 27001 auch immer deutlicher. Diese ISO 27001-Zertifizierung öffnet uns Türen, wenn es darum geht, neue Kunden zu gewinnen, die verstehen, wie bedeutsam solch eine Zertifizierung ist.

Welche Bedeutung hat die ISO 27001-Zertifizierung für idealworks?

idealworks ist verschiedener Risiken ausgesetzt. Auf deren Basis haben wir einige Richtlinien angepasst, die von der ISO-Vereinigung bereitgestellt werden. Durch diese werden Risiken minimiert, sie unterstützen uns dabei, potenzielle Konsequenzen zu bewältigen und decken mehrere Themen ab, z. B.: Wer erhält Zugriff auf welche Dokumente? Was passiert, wenn jemand das Unternehmen verlässt? Und wie stellen wir im Falle einer Katastrophe oder Störung die Geschäftskontinuität am besten sicher? Zusätzlich haben wir eine Reihe von Richtlinien für unsere Mitarbeiter entwickelt, die beispielsweise den Umgang mit Eigentum des Unternehmens beinhalten.

Bildunterschrift: Peter Mansour, CISO von idealworks

Wie sah deine Vorbereitung auf das ISO 27001 Audit aus?

Für uns war es wichtig sicherzustellen, dass sich alle idealworks Mitarbeiter in den gesamten Prozess eingebunden fühlen und jeder seinen Teil dazu beiträgt, unser Ziel der ISO-Zertifizierung zu erreichen. Welche Art der Unternehmenskultur ein Unternehmen pflegt, ist am Engagement zu erkennen, denn das ist fundamental.

Wann ist idealworks Richtung ISO 27001 gestartet und was sagt das Zertifikat über das Unternehmen aus?

Wir geben stets vollen Einsatz, ein sicheres Unternehmen zu bleiben, insbesondere in Bezug auf die Informationssicherheit. Bereits im Juni letzten Jahres hat unser Top-Management deshalb beschlossen, diese Reise anzutreten. Im November 2021 fand unsere Bewertung der Stufe 1 statt, nur wenige Wochen später folgte bereits Stufe 2. Wir waren begeistert, als wir am 20. Dezember 2021 die 27001-Zertifizierung erhielten. Das Zertifikat unterstreicht nochmals, welch wichtige Bedeutung der Datenschutz für uns hat.

Es ist uns ein sehr großes Anliegen, dass das Team, unsere Kunden und Partner wissen, dass wir alles dafür tun, dass ihre Daten bei uns sicher, geschützt und zugänglich bleiben. Das ISO 27001-Zertifikat unterstreicht, wie wichtig Datenschutz für uns ist. Unser Ziel der ISO 27001-Zertifizierung konnten wir durch den unglaublichen Einsatz jedes einzelnen Mitglieds von idealworks erreichen.

Was konnte das Unternehmen aus dem ISO-Zertifikatsverfahren lernen?

Wir konnten vor allem unsere internen Praktiken und Prozesse gründlich reflektieren. Mit den Learnings aus dieser Reflexion und der ISO 27001-Leitlinie, waren wir in der Lage unsere interne Führung bestmöglich zu verbessern. Unser CEO leitet den Ausschuss für Informationssicherheit, den wir daraufhin gegründet haben, und dem ich als Chief Information Security Officer sowie andere Führungskräfte und Spezialisten angehören. Aufgabe und Ziel des Ausschusses ist es, das ISMS-Framework zu unterstützen und unsere Sicherheitsrichtlinie regelmäßig zu überprüfen. All diese Verbesserungen ermöglichen es uns nun, bessere proaktive Maßnahmen zu ergreifen und die Unternehmensrisiken zu minimieren.

Was war in dieser Zeit die größte Herausforderung für dich?

Es war ein ziemlich straffer Zeitplan, den wir uns selbst gesetzt hatten: in nur 6 Monaten wollten wir bereit für die Prüfung sein – und das haben wir geschafft! Darauf sind wir sehr stolz. Unzählige Prozesse mussten während dieser Zeit bei idealworks erfasst werden. Zeitgleich lief die Vorbereitung auf ein zweitägiges Meeting mit einem Auditor, der jedes erstellte Dokument akribisch prüfte.

Wie lange ist das ISO 27001 Zertifikat gültig?

Tatsächlich gilt das ISO-Zertifikat nicht für immer. Es muss nach einer dreijährigen Erneuerungsfrist zusätzlich zu einer jährlichen Überprüfung neu bewertet werden. Unabhängig davon werden wir jedoch nie aufhören, unsere Sicherheitsinfrastruktur kontinuierlich zu warten und zu verbessern. Wir haben uns sehr daran gewöhnt, immer einen Schritt voraus zu sein – und das soll so bleiben.