Warum Zertifizierungen wie ISO 27001, 9001 für Unternehmen unverzichtbar sind und wie wir die damit verbundenen Anforderungen umsetzen
ISO-Zertifizierungen wie ISO 27001 und ISO 9001 sind heute zentrale Nachweise für Unternehmen, dass höchste Standards in den Bereichen Informationssicherheit und Qualitätsmanagement eingehalten werden.
Diese international anerkannten Siegel bestätigen, dass ein Unternehmen systematisch Prozesse zur Sicherung von Datenschutz, Qualität und Produktsicherheit etabliert hat.
In unserem neuen Blogbeitrag stellen wir die Anforderungen der ISO 27001 und ISO 9001 in der Praxis vor. Wir geben einen Einblick in die Umsetzung dieser Standards im Arbeitsalltag und zeigen, wie man als verantwortungsbewusster Dienstleister die relevanten Kriterien erfüllen kann.
ISO 27001 im Entwicklungsprozess – Sicherheit von Anfang an
Informationssicherheit ist keine einmalige Aufgabe, sondern ein fester und dringend nötiger Bestandteil unseres Entwicklungsprozesses. Im Rahmen unserer ISO 27001-Umsetzung haben wir daher eine an den OWASP Top 10[1] orientierte Risikobewertung direkt in unseren Workflow integriert.
- In unserem Planungsprozess erfassen und dokumentieren wir Sicherheitsrisiken bereits vor Beginn der Entwicklung
- Sobald Risiken erkannt werden, bewerten wir deren Kritikalität mithilfe des Common Vulnerability Scoring System (CVSS). Dieser international anerkannte Standard erlaubt es uns, Sicherheitsrisiken objektiv und nachvollziehbar zu priorisieren. So stellen wir sicher, dass besonders kritische Schwachstellen schnell adressiert werden – noch bevor sie sich auf unsere Systeme und damit unsere Kunden auswirken können.
- Durch automatisierte Penetrationstests wird unsere Software täglich auf mögliche Sicherheitslücken und Schwachstellen untersucht.
- Auch von uns verwendete Drittanbietersoftware durchläuft einen täglichen, automatisierten Sicherheitscheck, der von öffentlichen Stellen zur Verfügung gestellt und verifiziert ist.
So halten wir einen Software-Entwicklungsprozess am Laufen, der in Punkto Sicherheit tägliches Bewusstsein genießt und kontinuierlich erweitert und gelebt wird.
ISO 9001 im Entwicklungsprozess. Qualität durch klare Definitionen und Prozesse
Die Umsetzung von ISO 9001 in der Softwareentwicklung bedeutet nicht nur, Qualitätsstandards einzuhalten, sondern diese auch konsequent und möglichst unkompliziert in die täglichen Arbeitsprozesse zu integrieren. Ein zentrales Instrument dabei ist die Definition of Done (DoD), die sicherstellt, dass Aufgaben erst dann abgeschlossen sind, wenn alle relevanten Qualitätsrichtlinien erfüllt wurden.
Im Entwicklungsprozess werden Aufgaben nicht einfach „fertig“ erklärt. Stattdessen wird über die Definition of Done festgelegt, welche Schritte zwingend notwendig sind, um die Qualität zu sichern. Dazu gehören unter anderem:
- Code-Review: Jede Änderung der Software wird detailliert von mehreren Softwareentwicklern geprüft und abgesegnet, bevor die nächsten Prozesse eingeleitet werden.
- Issue-Review: Innerhalb eines zweiten Kontrollzyklus wird überprüft, ob Funktionsweise, Dokumentationen, automatisierte Tests und Testbeschreibungen zu einer Weiterentwicklung in bestmöglicher Form umgesetzt wurden, bevor sie an die Testabteilung zur funktionalen Qualitätssicherung weitergegeben werden.
- Dokumentation der Risikomaßnahmen: Identifizierte, qualitative Risiken und deren Handhabung werden vorausschauend und nachvollziehbar beschrieben und durchlaufen so ggf. gesonderte Überprüfungen.
- Umsetzungshinweise: Relevante Informationen und Vorgehensweisen zur Umsetzung bestimmter Anforderungen werden detailgetreu festgehalten, um die Nachvollziehbarkeit und den Wissenstransfer zu gewährleisten.
Diese Anforderungen sind nicht nur theoretische Vorgaben, sondern werden toolgestützt über unsere Jira-Software eingefordert und dokumentiert. So entsteht ein transparenter Nachweis darüber, dass Prozesse eingehalten werden.
Strukturierter Umgang mit Bugs
Neben der Definition of Done gibt es einen klar definierten Prozess für den Umgang mit Fehlern in der Software. Dieser umfasst:
- Analyse und Bewertung des Bugs
- Entscheidung über (Teil-)Sperrungen der Software, falls notwendig
- Transparente Information an Kunden über Auswirkungen und Maßnahmen
Durch diese strukturierte Vorgehensweise wird dafür gesorgt, dass nicht nur Fehler behoben, sondern auch Transparenz, Vertrauen und Verlässlichkeit gegenüber den Kunden gewahrt werden.
Fazit
ISO 9001 (Qualitätsmanagement) und ISO 27001 (Informationssicherheitsmanagement) schaffen gemeinsam eine Grundlage für robuste, widerstandsfähige Lieferketten. Während ISO 9001 Prozesse standardisiert und Wissen im Unternehmen institutionalisiert, stellt ISO 27001 sicher, dass Informationen und Daten in der gesamten Lieferkette geschützt bleiben. Das Ergebnis ist mehr Transparenz, Vertrauen und Qualität. Nicht nur intern, sondern auch in der Zusammenarbeit mit Kunden, Partnern und Zulieferern.
Weitere Informationen zu unseren Zertifizierungen gibt es auf unserer Webseite.
[1] Die OWASP Top 10 ist eine Liste der zehn kritischsten Sicherheitsrisiken für Webanwendungen, die vom Open Web Application Security Project (OWASP) erstellt wird. Sie dient als Leitfaden für Entwickler, Sicherheitsexperten und Organisationen, um die häufigsten und gefährlichsten Schwachstellen in Webanwendungen zu erkennen und zu beheben.
