Ist SPiCE 1-2-1 for ISO 27000 kompatibel zu ISO 27000?

Sämtliche Anforderungen der ISO 27001:2005: "Information Security Management System" sind als Prozesse & Basis Praktiken (Base Practices) in das Tool eingebunden.

Ein Information Security Management System, das alle Anforderungen dieser Basis Praktiken einhält, erfüllt somit die ISO 27001 Konformität. Zudem soll die Bezeichnung 1-2-1 (sprich: one to one) aussagen, dass hier SPiCE "eins-zu-eins" abgebildet wird. Das heißt: SPiCE 1-2-1 deckt zu 100% alle relevanten inhalte aus dem ISO 27000 SPiCE^TM Process Assessment Model (PAM) ab.

Darüber hinaus sind in SPiCE 1-2-1 for ISO 27000 alle Information Security Controls der ISO 27002 abgebildet.

Was hat SPiCE 1-2-1 mit CMM zu tun?

Vom CMM (Capability Maturity Model) gibt es eine neue Version: CMMI (CMM Integrated). Dieses CMMI ist der direkte Nachfolger des bekannten CMM Version 1.1 und ist anstelle von CMM 2.0 erschienen. Die gute Nachricht: CMMI ist (laut eigenen Angaben) SPiCE (ISO 15504) "compatible and compliant". Theoretisch also ist ein SPiCE 1-2-1 Assessment vergleichbar mit den Ergebnissen eines CMMI Assessments. Praktisch aber ist die Zuordnung der CMMI Process Areas nicht so einfach, da hier teilweise noch eine andere Philosophie dahintersteckt. Mehr Info zu CMMI gibts unter cmmiinstitute.com oder falls Sie sich doch lieber das Ganze aus der Sicht eines Tools ansehen wollen empfehlen wir Ihnen CMM-Quest.com.

Warum ISO 15504 (SPiCE) und nicht etwas anderes?

Selbstverständlich sind alternative Assessment Methoden auch mit diversen Vorteilen ausgestattet. SPiCE hat aufgrund der internationalen Zusammenarbeit aber die meisten Vorteile der existierenden Methoden zusammengetragen und in einer standardisierten Form zu Papier gebracht. Der größte Nachteil der entstanden ist, das ist der Umfang des Papieres. Mit 400 Seiten muss man da schon rechnen.

Und genau das ist der Grund, warum wir SPiCE 1-2-1 gebaut haben: Mit dem Assessment Tool ist es um Dimensionen einfacher und unterhaltsamer die Inhalte von ISO 15504 kennen zu lernen als mehrere hundert Seiten durchzulesen!

Warum aber soll nun eine Firma SPiCE verwenden?

• Weil es der Auftraggeber wünscht (Space, Automobilindustrie, Finanz, etc.)
• Weil es Vergleichbarkeit gewährleistet
• Weil es der kleinste gemeinsame Nenner ist: einfach DIE Norm!

Aber Achtung: Kleine Software Unternehmen tun sich schwer, die Inhalte von SPiCE in vollem Umfang zu realisieren. Eine organisatorische Mindestgröße ist einfach zu beachten. Für kleine Unternehmen (bis ca. 15 Mitarbeiter) empfehlen wir daher eher das Assessment Tool SPiCE-Lite zu verwenden.