Startseite > Security > TÜV Süd: Tipps zum Schutz vor Cyberangriffen

Informationssicherheit nach ISO 27001

TÜV Süd: Tipps zum Schutz vor Cyberangriffen

12. Mai 2015, 8:40 Uhr | LANline/jos

Die Sicherheit von Informationen und Daten ist derzeit so präsent wie nie. IT-Systeme werden immer komplexer und die Vernetzung verschiedener Teilsysteme lässt neue Angriffspunkte an Schnittstellen entstehen. Zudem steigt die Professionalität und Häufigkeit von Hacking-Angriffen immer weiter an. Daher sollten sich gerade Unternehmen um ein gutes Informationssicherheits-Management kümmern.

„Im Grunde gibt es nur zwei Arten von Firmen: bereits gehackte und solche, die in absehbarer Zeit mit einem weniger, leider oft auch mehr erfolgreichen Angriff rechnen müssen“, sagt Rainer Seidlitz, Prokurist bei der TÜV Süd Sec-IT. Denn noch immer sei vielen Unternehmen nicht bewusst, dass Cyberangriffe immer professioneller durchgeführt werden und oft kaum zu erkennen und abzuwehren sind.

Im Ernstfall hilft dann ein definiertes systematisches Vorgehen dabei, die notwendigen Maßnahmen in die Wege zu leiten. „Als Leitlinie empfehlen wir dafür die einschlägigen Kapitel der ISO 27001. Sie ist die führende Norm für Informationssicherheits-Management-Systeme und hilft, vertrauliche Daten zu schützen, die Integrität betrieblicher Daten sicherzustellen und die Verfügbarkeit von IT-Systemen zu erhöhen“, erklärt Rainer Seidlitz weiter.

Grundsätzlich gilt: Die Unternehmensleitung muss klare Strukturen schaffen und Handlungsvorgaben an ihre Mitarbeiter geben, damit sicherheitsrelevante Vorfälle richtig gemanagt werden können. Dazu ist es nötig, ein gutes Informationssicherheits-Management aufzubauen und unter anderem folgende Punkte zu beachten:

Verantwortlichkeiten: Verantwortlichkeiten und notwendige Kompetenzen müssen von Beginn an geklärt sein, um im Ernstfall angemessen reagieren zu können.

Mitarbeiter und Auftragnehmer: Die Geschäftsleitung hat dafür Sorge zu tragen, dass Mitarbeiter und Auftragnehmer potenzielle Sicherheitslücken melden. Dafür ist über ein grundsätzliches Problembewusstsein hinaus auch eine offene Kommunikation nötig.

Meldewege und Berichtswesen: Sicherheitsrelevante Ereignisse sollten generell nach Relevanz und Kritikalität sortiert werden. Diese sind dann über die passenden Kanäle sofort an die Verantwortlichen weiterzuleiten.

Bewertung von Vorfällen: Vorab müssen genaue Kriterien dazu definiert sein, welche Ereignisse als sicherheitsrelevant gelten, um dann eine fundierte Bewertung vornehmen zu können.

Vorgehensweise bei Sicherheitsvorfällen: Welche Maßnahmen im Ernstfall zu ergreifen sind, sollten Verantwortliche vorab so weit wie möglich festlegen, und es empfiehlt sich, entsprechende Szenarien einzuüben.

Optimierung des Sicherheits-Managements: Dabei gilt es, aus Fehlern zu lernen. Aus der Erfahrung im Umgang mit Angriffen sollen Verantwortliche das Sicherheits-Management verbessern.

Beweissicherung: Es sollte festgelegt sein, wie sich Daten im Angriffsfall sammeln und gerichtsfest archivieren lassen.

Mit Audits und so genannten Penetrationstests überprüfen die TÜV-Süd-Experten die Wirksamkeit von Sicherheitsmaßnahmen. Dies bringe Unternehmen Klarheit über eventuelle Risiken und Schwachstellen im System.

Weitere Informationen zu den Themen Datenschutz und Datensicherheit erhalten Interessenten unter www.tuev-sued.de/sec-it oder unter der kostenlosen Rufnummer 0800/5791-5005.