Standards and norms

There are most different standards with whose contents knowledge bases can be related, regarding test questions or threats, measures or controls. Examples of standards: BSI, ISO 27001, ISO 80001, EU-GDPR, etc.

Standards and norms are divided into chapters, which in turn may contain sub-chapters. These chapters (or sub-chapters) can reference other chapters (and sub-chapters), and in principle a reference is unidirectional (bidirectional references can be created). Similarly, chapters can reference chapters and sub-chapters of other standards. This makes it possible to derive one standard from another. Furthermore, this means that, for example, a test question that references such a standard chapter is automatically also related to the chapter of another standard.

Knowledge bases can map audit questions, controls, threats or measures to standards and norms. This mapping means that certain evaluations can be made against standards and norms, e.g., about measures and controls that have already been implemented. This makes it clear in which areas of the standard a company is particularly active. This allows statements to be made about the degree of compliance with the standard and the maturity of the management system in this area.

The norms and standards provided by TogetherSecure cannot be modified by users. Referencing of these "vendor chapters" of specially created norms and standards is allowed.

However, a "definition of the scope" for each management system can be recorded for each standard or norm. In the course of this, it can be additionally selected for each standard chapter justified whether it is applicable for the current management system or not. This information can be used to generate a "Statement of Applicability" report under "Risk Management → Reports → Standards and Norms".

Standards und Normen

Standard oder Norm importieren

HITGuard stellt standardmäßig folgende Standards und Normen zur Verfügung:

• ISO 27001-2013
• ISO 27002-2013
• ISO 9000-2015
• ISO 9001-2015
• IT-Grundschutz-Kompendium 2019
• IT-Grundschutz-Kompendium 2020
• DSGVO
• CSC_V6.1

Diese werden aber nicht automatisch installiert!

Die gewünschten Standards oder Normen können allerdings ganz einfach unter "Administration → Standards und Normen" importiert werden. Dafür muss nur auf den "Standard importieren"-Button geklickt werden und der gewünschte Standard bzw. Norm ausgewählt werden.

Standard oder Norm erfassen

Standards und Normen können von Administratoren und Experten unter "Administration → Standards und Normen" erfasst und bearbeitet werden. Das Ziel beim Erfassen einer Norm oder eines Standards ist es, die Struktur der Norm ohne Inhalt zu erfassen.

Standard / Norm erfassen

Standard / Norm

Hier werden die Kopfdaten der Norm oder des Standards erfasst.

Kurzbezeichnung:

• Die Kurzbezeichnung der Norm oder des Standards z.B. ISO/IEC 27001:2017.

Langbezeichnung:

• Die Langbezeichnung der Norm oder des Standards z.B. Information technology - Security techniques - Information security management systems - Requirements.

Beschreibung:

• Beschreibung der Norm.

Stand:

• Stand der Norm.

Definition des Geltungsbereichs:

• Hier kann für das aktuelle Managementsystem eine "Definition des Geltungsbereichs" erfasst werden. Diese ist pro Managementsystem konfigurierbar.

Kapitel

Hier wird die Kapitelstruktur der Norm erfasst. Auf der linken Seite wird die Struktur hierarchisch angezeigt. Über den Plus-Button werden neue Kapitel erstellt. Auf der rechten Seite geben Sie die Kopfdaten, übergeordnete Kapitel und ausgehende Mappings an.

Übergeordnetes Kapitel:

• Handelt es sich um ein Unterkapitel, muss hier das übergeordnete Kapitel angegeben werden. Hiermit wird die Struktur der Norm nachgebaut.

Gliederung:

• Hier wird eine Gliederung für die Kapitel vergeben. Die Gliederung entspricht im Normalfall der der Norm z.B. 01 Kap. I, 02 Kap II,etc.

Kurzbezeichnung:

• Die Bezeichnung des Kapitels laut Norm oder Standard.

Beschreibung:

• Die Beschreibung des Kapitels laut Norm.

Nicht anwendbar:

• Hier kann erfasst werden ob ein Kapitel für das aktuelle Managementsystem anwendbar ist oder nicht. (Konfigurierbar pro Managementsystem)

Begründung:

• Hier kann eine Begründung für die Anwendbarkeit erfasst werden. (Konfigurierbar pro Managementsystem)

Eingehende Mappings:

• Hier werden alle Normen oder Standard-Kapitel angeführt, die auf dieses Kapitel mappen.

Eingehende Mappings:

• Hier kann das Norm/Standard Kapitel auf ein Norm/Standard Kapitel anderer Normen/Standards gemappt werden.