Consultant: Informationssicherheit
Informationen schützen
Fortsetzung des Artikels von Teil 1
Informationen schützen
Die Etappen, in denen der Verbesserungsprozess für die Informationssicherheit geplant, umgesetzt und weiterent-wickelt werden sollte, orientieren sich am PDCA-Zyklus, der Teil des Standards ISO 27001 ist. Sämtliche Aktivitäten, Maßnahmen und Mechanismen, die zum Aufbau und Betrieb eines ISMS erforderlich sind, können über diesen Zyklus den einzelnen Verbesserungsprozess-Phasen zugeordnet werden.
In der Phase „Plan“ (wie planen), sollten die Sicherheitspolitik und -ziele sowie die dazugehörigen Sicherheitsprozesse und -verfahren festgelegt werden. In der Phase „Do“ (wie durchführen), steht die Umsetzung des ISMS gemäß der Sicherheitspolitik des Unternehmens über die entsprechenden Maßnahmen, Prozesse und Verfahren an. Die Mitarbeiter müssen eingebunden, ihre Verantwortungen, Rechte und Pflichten festgelegt werden. Das Personal, das für den Betrieb des ISMS geschult werden muss, ist zu bestimmen. Regeln zur Lenkung von Dokumenten und zum Umgang mit Daten müssen fixiert werden. Ebenso müssen die Vorgehensweisen zur Risikoeinschätzung, zur Identifikation, Bewertung und Behandlung der Risiken sowie zur Genehmigung der Restrisiken festgelegt werden.
In die Phase „Check“ (wie prüfen), fallen die Durchführung interner Audits, das Einschätzen und gegebenenfalls das Messen der Sicherheitslage mittels der Zielvorgaben sowie die Überprüfung und Auswertung der Sicherheitsvorfälle. Dazu gehört die Berichterstattung an das Unternehmensmanagement zu Bewertungszwecken. In der Phase „Act“ (wie handeln), gilt es, die notwendigen Korrektur- und Vorbeugungsmaßnahmen zu ergreifen. Die Ergebnisse aus der Überprüfung von Sicherheitsvorfällen bilden dafür eine Basis. Aus diesen Erkenntnissen können Maßnahmen und Mechanismen zur kontinuierlichen Verbesserung des ISMS abgeleitet werden.
Für ein angemessenes ISMS muss eine geeignete Risikoanalysemethodik ausgewählt werden. Hierfür können Standards wie die ISO 27005 oder der BSI-Standard 100-3 zu Rate gezogen werden. Ebenso wenig fehlen darf der Aufbau einer Informationssicherheits-Organisation, beispielsweise in Form einer eigenen Abteilung oder Stabsstelle. Da ein ISMS den gleichen Prinzipien - Rollen, Verantwortlichkeiten, Strukturen, Organisation und Dokumentation - unterliegt, die auch in anderen Managementsystemen Anwendung finden, steht einer Integration dieses Systems in bereits bestehende Managementsysteme nichts im Wege.
- Informationen schützen
- Informationen schützen
Lesen Sie mehr zum Thema
