- \n
- Die Norm ISO 9001 schreibt ein Prozess Management System vor.<\/li>\n
- Die Norm ISO 20000-1 schreibt ein Service Management System vor.<\/li>\n
- Die Norm ISO 27001 schreibt ein Information Security Management System vor.<\/li>\n<\/ul>\n
Es wird das Vorhandensein und die korrekte Funktion eines Management Systems gepr\u00fcft, also die F\u00e4higkeit des Managements einer Organisation, das zugrundeliegende Element zu steuern. Steuern heisst – salopp ausgedr\u00fcckt, dass genau das Resultat erscheint, welches man beabsichtigt hat. Die drei genannten Normen bauen prinzipiell aufeinander auf. Die Funktion des Information Security Management Systems kann man nur nachweisen, wenn man die Services im Griff hat und das Service Management System funktioniert nur mit reibungslos operierenden Prozessen.<\/p>\n
Was bringt die Pr\u00fcfung?<\/h2>\n
Kein Management System ist perfekt. Es gibt immer eine Differenz zwischen dem, was man erreichen will und soll und dem, was man tats\u00e4chlich erreicht hat. Weil diese Differenz f\u00fcr Insider nicht einfach erkennbar ist, l\u00e4sst man Externe diese Aufgabe durchf\u00fchren. Sie pr\u00fcfen die Organisation nach verschiedenen Kriterien gegen die Normen und fertigen einen Bericht an, der alle festgestellten Abweichungen aufzeigt und Empfehlungen f\u00fcr geeignete Massnahmen zur angemessenen Verkleinerung der Abweichungen enth\u00e4lt. Falls das Management schlecht ist, enth\u00e4lt der Bericht sogenannte Hauptabweichungen, und die Zertifizierungsstelle muss das Zertifikat verweigern oder eine Nachfrist setzen. Dieser Bericht ist das Wertvolle an der Pr\u00fcfung. Er zeigt der Organisation (dem Management), an welchen Punkten sie noch arbeiten muss, um sich substanziell zu verbessern. Die Pr\u00fcfer (Auditoren) sind speziell ausgebildet und haben ihre eigenen, streng geh\u00fcteten Methoden. Die Pr\u00fcfer vergleichen auch die aktuellen Zust\u00e4nde mit den letzten Reports und k\u00f6nnen so bemerken, ob man die Empfehlungen angemessen ber\u00fccksichtigt hat. Darum gibt es j\u00e4hrliche Nachkontrollen. Die Pr\u00fcfung ist also ein kontinuierlicher Vorgang.<\/p>\n
Die Informatikdienste der ETH Z\u00fcrich f\u00fchren diese Zertifizierung freiwillig als Form der unabh\u00e4ngigen Kontrolle durch. Es ist f\u00fcr uns wichtig, unseren Kunden eine qualitativ gute Dienstleistung anzubieten, von der zeitgem\u00e4ssen Informations- und IT-Sicherheit bis hin zu funktionierenden Produkten und Prozessen.<\/p>\n
Gibt es einen Unterschied zwischen einer Hochschul-IT und einem privaten IT Provider?<\/h2>\n
Fachlich nein. Bei der Beurteilung muss man allerdings das unterschiedliche Umfeld ber\u00fccksichtigen.<\/p>\n
Bei der Motivation hingegen besteht ein erheblicher Unterschied. Wir in den Informatikdiensten f\u00fchren die Zertifizierungen seit bald einem Jahrzehnt als erste Hochschulinformatik der Schweiz freiwillig durch. Bei Service Providern in der Privatwirtschaft sind solche Zertifikate ein erforderlicher Ausweis gegen\u00fcber den Kunden. Die Zertifikate verhindern, dass jeder Kunde selber Pr\u00fcfungen bei seinem Provider durchf\u00fchren muss, was zur Folge h\u00e4tte, dass dieser vor lauter Audits gar nicht mehr arbeiten k\u00f6nnte.<\/p>\n
Rezertifizierung 2018 – bestanden!<\/h2>\n
Im Juni haben wir die Rezertifizierung wie geplant durchf\u00fchren lassen. QM hat ein dichtes Programm zusammengestellt, das den Auditoren einen Einblick in ausgew\u00e4hlte Projekte gegeben hat. Alle gezeigten Projekte hatten einen starken Sicherheitsbezug und zeigten ihre Interaktionen mit den Hauptprozessen unseres Servicemanagements. Die Auditoren bescheinigen uns hohe Professionalit\u00e4t. Sie haben eine deutliche und notwendige Verbesserung unseres Verst\u00e4ndnisses von \u00abIT-Services\u00bb ausgemacht.<\/p>\n
Die beiden Abschlussberichte (Reports) sind eingetroffen. Es wurden keine Abweichungen festgestellt, aber insgesamt 14 sogenannte \u00abareas for improvement\u00bb genannt und zahlreiche Tipps gegeben. Die Berichte stellen uns ein sehr gutes Zeugnis aus. Sie sind f\u00fcr einen engen Kreis von Berechtigten auf dem Sherlock einsehbar. Wer die Zertifikate im Original bestaunen m\u00f6chte: Je ein Satz h\u00e4ngt im B\u00fcro von Rui Brandao und Dieter Gut.<\/p>\n
![\"\"](\"https:\/\/blogs.ethz.ch\/id\/files\/2018\/09\/Zertifikat_2018.jpg\")
<\/a><\/p>\n