Menü
ISMS – Die Methode
für Ihre Informationssicherheit
ISMS – Die Methode
für Ihre Informationssicherheit
ISMS steht für Information Security Management System. Es handelt sich bei einem Informationssicherheitsmanagementsystem um eine strukturierte Methode, um die Informationssicherheit zu managen, Risiken zu minimieren und die allgemeine Sicherheitslage zu verbessern.
Das Ziel eines ISMS ist es, die Schutzziele der Informationssicherheit (Vertraulichkeit, Integrität und Verfügbarkeit von Informationen) in einem zunehmend digitalen Geschäftsumfeld zu gewährleisten. Gleichzeitig werden die Risiken im Zusammenhang mit der Verarbeitung und Speicherung von Informationen minimiert.
Informationssicherheit endet nicht mit den Einstellungen der Firewall, einem aktiven Virenschutzprogramm oder dem Passwortschutz, sondern ist als ganzheitliches Sicherheitskonzept zu verstehen. Es sind klare Prozesse sowie Schutzmaßnahmen zu definieren, wie Informationen sicher verarbeitet werden können und wie der Umgang mit IT-Systemen zu gestalten ist.
Cyberbedrohungen und -angriffe nehmen zu: Es ist ein angemessener Schutz des Unternehmens erforderlich
Je nach Branche unterliegt der Mittelstand verschiedenen Compliance-Anforderungen, z. B. NIS2, sowie Datenschutzbestimmungen (DSGVO).
Vorhandene Ressourcen in der IT-Abteilung müssen effizient genutzt und Prioritäten besser gesetzt werden.
Workshop „Schutzbedarfsanalyse“:
Der Schutzbedarf von Geschäftsprozessen und Anwendungen wird bestimmt. Er bemisst sich an den potenziellen Schäden, die mit der Beeinträchtigung von betroffenen Assets einhergehen. Die Schutzbedarfsanalyse ist die Basis für das Notfallmanagement. Ohne Kenntnis, was kritisch ist, kann nicht festlegt werden, für welches Szenario ein Notfallplan benötigt wird.
Workshop „Risiko- und Notfallmanagement“:
Die Aufgabe des Risikomanagements ist es, die Unternehmensrisiken zu ermitteln und deren mögliche Auswirkungen für Ihr Unternehmen offen zu legen und entsprechend zu behandeln. Es besteht aus der Risikoidentifikation, der -analyse, der -beurteilung, der -behandlung sowie der kontinuierlichen Risikoüberwachung.
Das Notfallmanagement ist Teil der IT-Sicherheitsstrategie und hat die Aufgabe, kritische Geschäftsprozesse aufrechtzuerhalten oder wiederherzustellen. Durch planvolles und vorbereitetes Handeln soll auf verschiedene Notfallszenarien angemessen reagiert werden.
Das BREKOM ISMS-Vorlagenpaket hilft bei der Dokumentation von Schutzmaßnahmen und strategischen Vorgaben, Richtlinien, Konzepten sowie Prozessbeschreibungen.
Gemeinsam werden die Dokumente für das Unternehmen angepaßt und Fragen geklärt.
„Unser wichtigster Kunde hat von uns einen Nachweis gefordert, wie wir das Thema Informationssicherheit in unserem Unternehmen organisiert haben. BREKOM hat uns mit dem ISMS-Vorlagenpaket geholfen, die Aufgabe für unser mittelständisches Unternehmen schnell und pragmatisch zu lösen. Die Workshops haben uns die Augen geöffnet, den Schutzbedarf unserer Prozesse zu definieren und Notfallpläne vorzubereiten.“
Geschäftsführer eines mittelständischen Unternehmens für die Herstellung von Messinstrumenten
Richtlinien sind schriftlich formulierte Arbeitsanweisungen zur Sicherstellung der Schutzziele der Informationssicherheit (Vertraulichkeit, Integrität, Verfügbarkeit). Sie sind Bestandteil des organisatorischen Sicherheitskonzeptes.
Beispiele: Clean-Desk, Passwortrichtlinie, Verhalten bei Virenbefall
Ein Konzept ist eine Absichtserklärung bzw. Strategie ein bestimmtes Sicherheitsziel zu erreichen mit grober Beschreibung der Schutzmaßnahmen.
Beispiel: Patchmanagement-Konzept, Virenschutzkonzept
Die Sicherheitsleitlinie ist das „Dachdokument“ im Informationssicherheitsmanagementprozess! Sie beinhaltet, z. B. die Risiken für das Unternehmen, den Stellenwert der Informationssicherheit sowie die Übernahme der Verantwortung durch die Leitungsebene.
Die Geschäftsführung haftet z. B. dafür, wenn Aufgaben an ungeeignetes Personal delegiert werden oder für die Versäumnis, bestimmte Anweisungen zu Arbeitsaufgaben zu erteilen sowie wenn die Ausführung delegierter Aufgaben nicht überwacht wird.
Rechtsfolgen können sein: Haftung gegenüber der Gesellschaft für den entstandenen Schaden, Außenhaftung gegenüber Dritten, wenn eine grobe Pflichtverletzung durch Unterlassen organisatorischer Maßnahmen Rechtsgüter Dritter verletzt hat.
Die Schutzbedarfsanalyse ist die Basis für das Notfallmanagement. Ohne Kenntnis, was kritisch ist, kann nicht festlegt werden, für welches Szenario ein Notfallplan benötigt wird.
Ohne Identifikation der kritischen Werte („Kronjuwelen“) kann kein Sicherheitskonzept entworfen werden. So ist sie z. B. die Grundlage für jedes Backup-Konzept. Es muss definiert werden, auf welche Ressourcen wie lange verzichtet werden kann. Die Geschäftsleitung erhält mit der Schutzbedarfsanalyse ein Instrument, um konkrete Anweisungen zu erteilen, was in welcher Form verfügbar sein muss.
Oft verlangen Versicherungsgeber und Gesetze (z. B. NIS2) einen Nachweis, wie auf Notfälle reagiert wird. Es ist heute keine Frage mehr, „ob“, sondern nur „wann“ und in welchem Ausmaß etwas passiert! Es reicht nicht aus, dass es präventive Maßnahmen gibt, sondern es müssen auch konkrete reaktive Maßnahmen definiert sein. Im Stress eines Notfalls ist keine vorausdenkende, umfassende Planung mehr möglich, daher sollte auf ein durchdachtes „Kochrezept“ mit klaren und verständlichen Handlungsanweisungen zurückgegriffen werden. In regelmäßigen Übungen muss es erprobt und verbessert werden.
