Was ist ein ISMS?

Ein ISMS (Information Security Management System) ist eine Sammlung von Regeln, Verfahren und Maßnahmen. Es dient dazu, Maßnahmen zur Informationssicherheit

• zu initiieren,
• zu steuern,
• zu dokumentieren,
• zu überwachen und
• kontinuierlich zu verbessern.

Ein ISMS hat also zunächst nichts mit einer bestimmten Softwarelösung zu tun. Werkzeuge wie das "i-doit ISMS" kommen  dann ins Spiel, wenn es um die Dokumentation des Umsetzungsfortschritts geht. Mit diesem planst und dokumentierst Du die Umsetzung der Maßnahmen. Dazu legst Du z. B. für alle dokumentierten Objekte Personen und Rollen fest, die für die Sicherheit oder Teile davon verantwortlich sind. Eine dieser Rollen ist der IT-Sicherheitsbeauftragte.

Der IT-Sicherheitsbeauftragte

Um es deutlich zu machen: Informationssicherheit ist Sache der Chefetage.

Aus diesem Grunde wird ein ISMS nach dem Top-Down-Ansatz eingeführt. Die Richtlinien werden vom Management aufgestellt und verabschiedet. Die genaue Ausarbeitung und Umsetzung wird bestimmten Mitarbeitenden bzw. Führungskräften übertragen. Dabei wirst Du verschiedene Rollen festlegen. Wenn Du ein ISMS umsetzt, ist die Benennung eines IT-Sicherheitsbeauftragten unumgänglich.

Dieser ist in alle ISMS-Prozesse integriert. Er arbeitet eng mit den IT-Verantwortlichen zusammen. Der IT-Sicherheitsbeauftragte berät bei Aufgaben wie der Auswahl neuer IT-Komponenten und Anwendungen. Er ist erste Anlaufstelle für alle Fragen der IT-Sicherheit. Da der IT-Sicherheitsbeauftragte von der Geschäftsleitung ernannt wird, ist er dieser meist auch direkt unterstellt. Er berichtet direkt an die Chefetage und verfügt in der Regel über ein eigenes Budget.

Welche Vorteile bietet ein ISMS?

Es ist kein Geheimnis: Ein IT-Sicherheitsmanagement zu implementieren ist mit Aufwand verbunden. Dieser Aufwand ist jedoch mehr als gerechtfertigt. Die positiven Auswirkungen eines ISMS überwiegen den initialen Aufwand deutlich.

Sicherung von Wettbewerbsvorteilen
Alle Tätigkeiten haben das Ziel, vorhandene Daten zu schützen. Ein ISMS lässt sich auf Größe und Struktur eines Unternehmens anpassen. Damit ist es nicht nur für Mittelständler und große Konzerne interessant. Auch für kleine Unternehmen rentiert sich ein ISMS. Die positiven Effekte reichen von transparenten Geschäftsprozessen bis zur vorteilhaften Außenwirkung. Wer nachweislich Sicherheitsmaßnahmen umgesetzt hat, sichert sich Wettbewerbsvorteile.

Sensibilisierung der Mitarbeitenden
Du wirst während der ISMS-Einführung Prozesse und Verfahren gestalten, diese etablieren und die zugehörigen Dokumente erstellen. Das bedeutet, dass sich Deine Mitarbeitenden aktiv mit dem Thema Informationssicherheit befassen und aktiv in den Gestaltungsprozess einbringen. Neben der prozessorientierten und technischen Einführung eines ISMS hat dies einen entscheidenden Vorteil. Deine Mitarbeitenden werden eine besondere Sensibilität für das Thema “Sicherheit” entwickeln.

Steigerung der Datensicherheit
Durch ein Information Security Management treibst Du das Thema "Informationssicherheit" voran. Du verbesserst den Schutz Deiner Daten, die das Kapital Deines Unternehmens sind. Besonders die Daten, die für das “Überleben” des Unternehmens wichtig sind, haben ein hohes Schutzbedürfnis. Das beinhaltet vor allem personenbezogene Daten. Diese Daten sind vielen Gefahren ausgesetzt. Eine davon ist der Verlust dieser Daten durch technische Fehler. Eine weitere ist der Diebstahl der Daten durch Dritte. Oft liegt der Ursprung eines solchen Diebstahls außerhalb des Unternehmens. Dennoch berücksichtigt ein ISMS auch das Risiko eines internen Datendiebstahls.

Aufdeckung von Schwachstellen
Während Du ein ISMS umsetzt, analysierst Du alle bestehenden Geschäftsprozesse. Dabei entdeckest Du potentielle Schwachstellen, die vorher nie aufgefallen sind. Die gesamte Risikobewertung wird auf ein vollkommen neues Niveau gehoben. Du gewinnst Klarheit darüber, welche Geschäftsprozesse kritisch sind und welche Assets besonderen Schutz benötigen. Das ISMS sieht ebenso die unabhängige Überprüfung der Prozesse vor. Das sorgt dafür, dass Schwachstellen erkannt werden, die bei einer internen Prüfung nicht beachtet werden.

Schnellere Wiederherstellung der Handlungsfähigkeit
Ein wichtiger Bestandteil eines ISMS ist ein Notfallplan. Dieser sorgt dafür, dass der Betrieb nach einem Zwischenfall auf dem schnellsten Wege wieder aufgenommen werden kann. Schäden lassen sich durch einen solchen Notfallplan minimieren oder verhindern.

Mit einem ISMS Investitionen besser planen

Bei der Planung von Investitionen fehlt häufig eine fundierte Grundlage, um Entscheidungen zielgerichtet und zukunftsweisend zu treffen. Nahezu allen Unternehmen ergeht es hier ähnlich: "Baustellen gibt es genug. Doch wo setzen wir unser Kapital am besten ein?" Gegenüber dem Wettbewerb wird eine bessere Positionierung angestrebt und nicht nur ein Stopfen von Löchern.

Durch die Daten im ISMS erkennst Du sofort, welche Daten und Bereiche nicht ausreichend geschützt sind. Im Umkehrschluss erkennst Du, wo Deine Investitionen den größten Mehrwert schaffen. Siehst Du frühzeitig Risiken und deren Tragweite, argumentierst Du Deine Budgets treffsicher. Nicht selten werden im Zuge einer ISMS Implementierung neue Risiken erkannt. Diese sind meist so noch nie in Betracht gezogen worden und genießen nun höchste Priorität.

Ein Wettbewerbsvorteil ist auch eine Zertifizierung nach ISO/IEC 27001. Kunden erkennen, dass Du das Thema Informationssicherheit nach anerkannten Standards umsetzt und somit ein sehr hohes Sicherheitsniveau erreichst. Du bekommst einen deutlichen Vertrauensvorschuss gegenüber Deinen Mitbewerbern. Zum anderen auditierst Du jedoch auch jederzeit Deine Lieferanten. Auf diesem Weg prüfst Du, ob diese die vereinbarten Leistungen erbringen und dies in einer ausreichenden Qualität tun.

Unternehmen und öffentliche Behörden stellen bei der Vergabe von Aufträgen Compliance-Richtlinien auf. Diesen Richtlinien muss Dein Unternehmen entsprechen, wenn es sich um einen Auftrag bewirbt. Mit einem ISMS bist Du jederzeit in der Lage, die entsprechenden Nachweise zu liefern und somit Fristen einzuhalten.

Gehören ISMS und Datenschutz zusammen?

Der Datenschutz betrifft in erster Linie personenbezogene Daten. Spätestens seit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) ist dies besonders klar geworden. Dennoch spielt der Datenschutz in einem Informationssicherheits-Managementsystem keine besondere Rolle. Auch personenbezogene Daten werden im ISMS wie alle anderen Daten behandelt.

Dennoch dürfen Datenschutzbeauftragte, die sich vornehmlich der Sicherheit und Verarbeitung personenbezogener Daten widmen, aufatmen. Denn ein ISMS dient allgemein dem Schutz von Daten und somit auch dem Schutz dieser Daten. Verwechsle bitte ein Datenschutz-Management nicht mit einem ISMS. Dieses benötigt seinerseits Erweiterungen, um dem Datenschutz in rechtlicher und technischer Sicht gerecht zu werden.

Normen und Standards

ISO 27005 – IT Risikomanagement

Während sich die Norm ISO/IEC 27001 mit den Anforderungen an ein ISMS beschäftigt, beschreibt die ISO 27005 den Themenkomplex “Risikoanalyse und -management”. Dabei liefert die Norm eine genaue Anleitung zur IT-Risikoanalyse. Sie beinhaltet eine genaue Beschreibung der Prozesse, um eine effiziente Risikoanalyse zu etablieren. Darüber hinaus bietet die ISO 27005 ebenso eine detaillierte Schilderung der einzelnen Prozessschritte.

Den Schwerpunkt bildet hierbei die Einschätzung von Risiken und der Umgang damit. Die Werte eines Unternehmens werden durch verschiedene Faktoren direkt oder indirekt bedroht. Schwachstellen in Systemen oder Prozessen oder verschiedene Arten von Impacts sind hier zu nennen.

Neben der reinen Identifizierung von Risiken gehört natürlich auch das Management der Maßnahmen in diesen Bereich. Dabei wird aus den Anhängen der ISO 27005 auf die ISO 27001 referenziert. Durch diese Verknüpfung wird ein systematisches, dokumentiertes Vorgehen und die stetige Verbesserung der Prozesse erreicht.

Das IT-Grundschutz-Kompendium des BSI

BSI Standard 100 vs. BSI Standard 200

Die BSI Standards 100-1, 100-2 und 100-3 befassen sich ebenfalls mit dem Aufbau eines ISMS und dem Risikomanagement. Sie wurden vom Bundesamt für Sicherheit in der Informationstechnik herausgeben. Sie dienen Unternehmen als Leitfaden und Orientierungshilfe, um ein höheres Schutzniveau zu erreichen. Die "100er-Reihe" wurde im Oktober 2017 durch die BSI Standards 200-1, 200-2 und 200-3 vollständig abgelöst.

Der BSI Standard 200-1 ("Managementsysteme für Informationssicherheit") bescheibt die allgemeinen Anforderungen an ein ISMS. Dieser Standard ist direkt kompatibel mit der Norm ISO/IEC 27001. Ebenfalls werden in diesem Standard die Empfehlungen und Begrifflichkeiten der ISO-Norm berücksichtigt.

Der BSI 200-2 ("IT-Grundschutz-Methodik") bildet die Basis für die Umsetzung eines ISMS. Er enthält drei bewährte Vorgehensweisen für die Realisierung des IT-Grundschutzes. Bei der Basis-Absicherung wird zunächst die Einführung eines ISMS betrachtet. Mit der Kern-Absicherung wird ein Weg beschrieben, wie ein kleinerer Teil eines größeren IT-Verbundes mit einem ISMS abgedeckt wird. Die Standard-Absicherung liefert dann schließlich die Beschreibung eines vollständigen Sicherheitsprozesses.

Im Standard BSI 200-3 ("Risikomanagement") sind alle risikobezogenen Arbeitsschritte für die Umsetzung des IT-Grundschutzes gebündelt. Dies schließt die Ermittlung von elementaren Gefährdungen, die Risikoeinstufung und die Behandlung von Risiken ein. Empfohlen wird dieser Standard für Organisationen, die sich bereits erfolgreich mit der IT-Grundschutz-Methodik auseinandergesetzt haben. Gegenüber dem Vorläufer BSI 100-3 wurde in diesem neuen Standard der Aufwand zur Erreichung eines definierten Schutzniveaus reduziert.

Die Umsetzung eines ISMS

Schutzbereiche identifizieren

Beginnen wir nun mit der Umsetzung eines ISMS. Auch hier steht - wie bei nahezu allen Projekten - die Planung an erster Stelle.

Du kannst ein ISMS grundsätzlich für alle nur denkbaren Bereiche einführen. Wir empfehlen Dir jedoch dringend, Dich zu Beginn einzuschränken. "Alles auf einmal" ist in der Regel keine gute Entscheidung. Je mehr Bereiche Du abdecken möchtest, desto größer wird der Aufwand. Darum solltest Du zunächst den Bereich des ISMS eingrenzen. Mögliche Schutzbereiche sind:

Risiken identifizieren und bewerten

Maßnahmen und Verantwortlichkeiten

Für jedes Risiko wählst Du nun verschiedene Maßnahmen aus dem Maßnahmenkatalog aus. Diese Maßnahmen können z. B. dazu dienen, die Eintrittswahrscheinlichkeit zu reduzieren oder den entstehenden Schaden zu verringern.

Ein Beispiel:
Häufig sind die Smartphones der Mitarbeiter mit verschiedenen Diensten verbunden, um auf wichtige Dokumente und Kundendaten zugreifen zu können. Ein mögliches Risiko wäre hier der “Verlust eines Smartphones”. Beim Verlust des Geräts könnten Unberechtigte auf die Daten zugreifen. Im schlimmsten Fall können die Daten verändert, gestohlen oder anderweitig missbraucht werden. Die Folge wäre ein finanzieller und / oder Imageschaden.

Eine Maßnahme, um das Schadensausmaß zu reduzieren, wäre die Möglichkeit, die Daten auf verlorenen Smartphones aus der Ferne zu löschen. Eine weitere Maßnahme ist der Rollout einer Sicherheitsrichtlinie, die auf allen mobilen Endgeräten 6-stellige PIN-Codes vorschreibt. Dadurch würde die Eintrittswahrscheinlichkeit auch bei Verlust des Geräts deutlich gesenkt.

Kontinuierliche Verbesserung (KVP)

Das i-doit ISMS

Für die Umsetzung eines ISMS sind folgende Maßnahmen zu treffen:

Je größer Dein Unternehmen ist, desto mehr Nachweise musst Du führen. Das i-doit ISMS unterstützt Dich bei der Umsetzung eines Information Security Management Systems. Das System ermöglicht es Dir, dieses ISMS zentral verfügbar zu halten.

Funktionen

Ganz gleich, ob Du Dein Unternehmen zukünftig besser aufstellen oder eine Zertifizierung nach ISO27001 erreichen möchtest. Das i-doit ISMS unterstützt Dich bei der Vorbereitung und Umsetzung. Zu sämtlichen Assets Deines Unternehmens kannst Du 

• Risiken betrachten
• interne und externe (elementare) Gefährdungen bestimmen und
• präventive sowie korrektive Maßnahmen zuordnen.

Du kannst Dein gesamtes Risikomanagement abbilden und organisieren. Mit dem ISMS erhältst Du die notwendigen Kataloge des BSI (IT-Grundschutz Kompendium) sowie der ISO27001 und B3S. Somit entfällt das mühselige Anlegen der Bedrohungen, Schwachstellen, Gefahren und Maßnahmen vollständig.

Status und Reporting der Umsetzung

Die Umsetzung eines ISMS ist mit einem nicht zu unterschätzenden Aufwand verbunden. Gefahren zu erkennen und Maßnahmen zu treffen ist ein wichtiger Bestandteil. Doch auch der Fortschritt des gesamten Projekts und die Umsetzung der getroffenen Maßnahmen muss nachvollziehbar sein. Dazu bietet unsere Lösung ein umfangreiches Reporting für jedes Asset. Hierzu können z. B. neben den getroffenen Maßnahmen

• verantwortliche Personen
• der Fortschritt der Umsetzung und
• die Risikoeinschätzung nach Gruppenzugehörigkeit

ausgewertet werden. Unterstützt wird ebenfalls die Risikoanalyse einzelner Standorte innerhalb eines Mandanten.

Verwaltung und Export von Berichten und Dokumenten

Sämtliche Assets können zentral durch verschiedene Anwender bearbeitet werden. Dazu kannst Du einfach Benutzer anlegen oder Deinen Verzeichnisdienst wie z. B. Active Directory anbinden. Deine bestehenden Sicherheitsgruppen integrierst Du nahtlos. Das ermöglicht Dir eine punktgenaue Konfiguration von Zugriffsrechten auf die jeweiligen Fachgebiete und Assets. Bei Bedarf stellst Du alle Informationen in PDF-Dokumenten zusammen oder exportierst sie als Excel-Berichte.

Die Vorteile des i-doit ISMS

Das i-doit ISMS ist eine vollständige Management-Suite für Informationssicherheit
nach ISO 27001 und IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI)