Unser Weg zur ISO 9001 und ISO 27001 Zertifizierung

Die Zertifizierung nach ISO 9001 und ISO 27001 war ein lang gehegter Wunsch von uns hier bei TMT.

Diese Zertifizierungen sind keine Augenwischerei, sondern zeigen, dass wir es mit der Sicherheit ernst meinen und alle Daten, die wir verarbeiten, sicher aufbewahren.

Als Unternehmen sind wir auf große Datensätze sowohl innerhalb als auch außerhalb unseres Kernnetzwerks angewiesen. Daher ist es für uns geschäftskritisch, die höchsten Standards für unsere Datenverarbeitung und Informationssicherheit einzuhalten.

Wir sind auch ein Unternehmen, dessen Kunden ein Höchstmaß an Datensicherheit und Servicequalität erwarten. Wir wussten, dass wir bereits über robuste und effektive Kontrollen und Prozesse verfügten, aber wir mussten in der Lage sein, diese Annahme in Frage zu stellen und die Wirksamkeit dieser Kontrollen nachzuweisen.

Wir begannen unsere Reise mit Cyber Essentials und IASME-Zertifizierungen, wussten aber, dass die Zertifizierungen nach ISO 9001 und ISO 27001 das Ziel waren.

Die ISO-Normen setzen die Messlatte für Qualitätsmanagement und Informationssicherheit hoch, und wir wollten beweisen, dass wir diese sehr hohen Standards erfüllen können. Außerdem wollten wir unseren Kunden und Partnern zeigen, dass wir uns dafür einsetzen, die Dinge richtig zu machen und ihre Daten zu schützen.

ISO 9001 und ISO 27001 Normen

Bei der Norm ISO 9001 geht es um ein solides Qualitätsmanagementsystem (QMS). Ein Managementsystem, das uns dabei hilft, die Anforderungen unserer Kunden zu erfüllen, Vorschriften und bewährte Verfahren einzuhalten und uns dabei stets zu verbessern. ISO 27001 konzentriert sich auf Managementsysteme für die Informationssicherheit (ISMS) und stellt sicher, dass wir alle Daten, die wir besitzen oder verarbeiten, vor Bedrohungen schützen.

Erste Schritte

Unsere erste Maßnahme war eine detaillierte Lückenanalyse. Wir mussten herausfinden, wie wir im Vergleich zu diesen Standards abschneiden. Auf dieser Grundlage stellten wir ein ‘Information Security Management System’-Team zusammen, das sich aus Vertretern des gesamten Unternehmens, der Sicherheit, der IT, des operativen Geschäfts, der Personalabteilung, der Rechtsabteilung und unserem CTO zusammensetzte, um die Initiative zu ergreifen.

Aufbau unserer Managementsysteme

Wir haben uns eine Reihe klarer, erreichbarer Qualitätsziele gesetzt, die mit unseren Geschäftszielen übereinstimmen. Wir haben alle wichtigen Prozesse erfasst und nach Möglichkeiten zur Rationalisierung und Beseitigung von Ineffizienzen gesucht. Außerdem haben wir sichergestellt, dass die Prozesse über die Dokumentation der Abteilungen hinweg effektiv zusammenhängen. Wir erstellten detaillierte Richtlinien, Verfahren und Arbeitsanweisungen, um sicherzustellen, dass alles einheitlich und zuverlässig abläuft. Wir stellten sicher, dass unsere Maßnahmen zur Kundenzufriedenheit und zum Kundenfeedback effektiv waren und dass wir die Lektionen, die wir gelernt hatten, nachverfolgten und umsetzten.

Wir haben auch alle möglichen Risiken für unsere Informationen genau unter die Lupe genommen, um herauszufinden, wie wahrscheinlich und wie schwerwiegend sie sind, und haben Korrektur- oder Abhilfemaßnahmen zur Bewältigung dieser Risiken ergriffen, darunter Dinge wie eine verbesserte Zugriffskontrolle, eine verbesserte Datenverschlüsselung, Integritätsprüfungen bei Backups und Übungen zum Management von Zwischenfällen.

Wir haben dann klare Richtlinien für den Umgang mit der Informationssicherheit erstellt, vom Datenschutz bis zum Umgang mit Vorfällen, unsere Mitarbeiter über bewährte Praktiken in der Informationssicherheit geschult und dafür gesorgt, dass jeder weiß, wie er unsere Daten schützen kann. Wir führten regelmäßige Übungen durch, um die Wirksamkeit unserer Schulungen zu testen.

Kontinuierliche Verbesserung

Nachdem diese Richtlinien, Prozesse und Systeme nun eingeführt waren, mussten wir sie ständig überprüfen und verbessern. Wir erreichten dies durch regelmäßige interne Audits. Unterstützt von unserem Partner Security Operations Centre, der selbst ISO-zertifizierter Auditor ist, prüften wir gemeinsam unsere Systeme, um Probleme zu finden und Verbesserungsmöglichkeiten zu finden. Während der gesamten Zeit hielten wir Management-Reviews ab, um die Verantwortlichen auf dem Laufenden zu halten, und ihre Beiträge halfen uns, auf Kurs zu bleiben und uns weiter zu verbessern. Wann immer wir Probleme fanden – und ich freue mich, dass wir nicht viele gefunden haben – haben wir sie schnell behoben und dafür gesorgt, dass sie nicht wieder auftreten.

Abschließende Zertifizierungsaudits

Nach all dem war die letzte Hürde die Zertifizierungsaudits, die von einer externen Stelle durchgeführt wurden. Wir hatten beschlossen, alle unsere Aktivitäten in den Geltungsbereich der ISO-Normen einzubeziehen, und so zogen sich die Audits über mehrere Wochen hin und wurden von mehreren Prüfern durchgeführt. Sie nahmen unsere Systeme genau unter die Lupe und prüften alles anhand der ISO-Normen. Wir freuen uns, dass wir unser letztes Audit der Stufe 2 mit null Verstößen abgeschlossen haben. Das Bestehen dieses Audits war ein großer und wichtiger Moment für uns, der Höhepunkt einer Menge harter Arbeit und Anstrengungen des gesamten Teams hier bei TMT. All unsere harte Arbeit hat sich gelohnt!

Fazit

Die Zertifizierungen nach ISO 9001 und ISO 27001 sind für TMT eine große Sache. Sie zeigt, dass wir uns verpflichtet fühlen, erstklassige Dienstleistungen zu erbringen und unsere Daten sicher zu halten. Wir sind der festen Überzeugung, dass diese Zertifizierungen dazu beitragen werden, das Vertrauen unserer Kunden und Partner zu stärken, da wir wissen, dass die Kontrollen und Prozesse, die wir zur Verwaltung ihrer Daten einsetzen, von einem Team professioneller Prüfer untersucht und für gut und effektiv befunden wurden. Die vollständige Anpassung unserer Prozesse an die ISO-Norm wird uns helfen, effizienter zu arbeiten, Risiken besser zu managen und eine Kultur der kontinuierlichen Verbesserung unserer Qualität und Sicherheit zu fördern.