Gemanagte Informationssicherheit
Risikominimierung und Compliance mit ISMS
Fortsetzung des Artikels von Teil 2
Etablierung eines ISMS im Unternehmen
Ein prototypisches Vorgehen zur Etablierung eines standardkonformen und damit zertifizierbaren Informationssicherheits-Management-Systems baut im Wesentlichen auf fünf Grundsäulen auf:
Initialisierung: Im ersten Schritt bekennt sich ein Unternehmen generell zur Informationssicherheit und macht diese zur Managementaufgabe, um das gesamte Unternehmen für die neue Herausforderung zu sensibilisieren.
Anwendbarkeit: Im zweiten Schritt legt das Unternehmen fest, was das Informationssicherheits-Management-System leisten soll. Hier wird definiert, welche Informationen durch dieses System geschützt werden sollen. Zu berücksichtigen sind die geschäftliche Ausrichtung, die Organisation, der Standort, die Werte und die eingesetzte Technologie. Auch gesetzliche, unternehmensinterne und vertragliche Anforderungen finden in dieser Stufe Beachtung. Wichtig sind hierbei auch die Schnittstellen zu anderen, externen Unternehmen, die beispielsweise auf ein System zugreifen, das in den Anwendungsbereich des Informationssicherheits-Management-Systems fällt.
Risiken: Im dritten Schritt gilt es sämtliche Risiken innerhalb des Informationssicherheits-Management-Systems-Anwendungsbereichs zu identifizieren. Die Methode zur Risikoeinschätzung muss für das Management-System geeignet sein und den festgelegten Anforderungen an die Informationssicherheit sowie den gesetzlichen Ansprüchen genügen. Zudem wird die Risikoakzeptanz entwickelt. Hat man Risiken und Risikoakzeptanz definiert, wird genau festgelegt, welche Auswirkungen der Verlust von Vertraulichkeit, Integrität und Verfügbarkeit maximal haben darf. Anhand der identifizierten Bedrohungen und Schwachstellen sowie der vorhandenen Schutzmaßnahmen lässt sich abschätzen, mit welcher Wahrscheinlichkeit Sicherheitsvorfälle realistischer Weise eintreten. So ist für jedes Risiko ein bestimmtes Niveau ermittelbar.
Maßnahmen: Im vierten Schritt werden Maßnahmen gewählt, mit denen sich nicht akzeptable Risiken vermeiden oder im Niveau senken lassen. Das können interne Maßnahmen sein, aber auch Vereinbarungen mit externen Partnern hinsichtlich der Übernahme bestimmter Risiken. Die konkrete Umsetzung wird von der zertifizierenden Stelle im Rahmen von Audits kontrolliert.
Kontinuierliche Kontrolle: Bei einer ISO Zertifizierung des Informationssicherheits-Management-Systems handelt es sich mittel- und langfristig um einen kontinuierlichen Prozess nach dem Plan-Do-Check-Act-Verfahren. Die Wirksamkeit des Informationssicherheits-Management-Systems wird nach Abschluss der initialen Installation mit Hilfe geeigneter Überwachungsmaßnahmen regelmäßig überprüft. Änderungen, die Auswirkungen auf den Anwendungsbereich haben könnten, werden ebenso berücksichtigt wie Verbesserungspotenziale, Mängel in der Umsetzung oder veränderte beziehungsweise neue Risiken.
Gregor Rex-Lawatscheck ist Geschäftsführer von Mpex
- Risikominimierung und Compliance mit ISMS
- Das Managementsystem für Informationssicherheit (ISMS)
- Etablierung eines ISMS im Unternehmen
Lesen Sie mehr zum Thema
