Was ist ein ISMS?

Ein ISMS ist eine Sammlung von Regeln, Verfahren und Maßnahmen. Es dient dazu, Maßnahmen zur Informationssicherheit

• zu initiieren,
• zu steuern,
• zu dokumentieren,
• zu überwachen und
• kontinuierlich zu verbessern.

Ein ISMS hat also zunächst nichts mit einer bestimmten Softwarelösung zu tun. Werkzeuge wie das "i-doit ISMS" kommen  dann ins Spiel, wenn es um die Dokumentation des Umsetzungsfortschritts geht. Mit diesem planen und dokumentieren Sie die Umsetzung der Maßnahmen. Dazu legen Sie z. B. für alle dokumentierten Assets Personen und Rollen fest, die für die Sicherheit oder Teile davon verantwortlich sind. Eine dieser Rollen ist der IT-Sicherheitsbeauftragte.

Der IT-Sicherheitsbeauftragte

Um es deutlich zu machen: Informationssicherheit ist Sache der Chefetage. Aus diesem Grunde wird ein ISMS nach dem Top-Down-Ansatz eingeführt. Die Richtlinien werden vom Management aufgestellt und verabschiedet. Die genaue Ausarbeitung und Umsetzung wird bestimmten Mitarbeitenden bzw. Führungskräften übertragen. Dabei werden Sie verschiedene Rollen festlegen. Wenn Sie ein ISMS umsetzen, ist die Benennung eines IT-Sicherheitsbeauftragten unumgänglich.

Dieser ist in alle ISMS-Prozesse integriert. Er arbeitet eng mit den IT-Verantwortlichen zusammen. Der IT-Sicherheitsbeauftragte berät bei Aufgaben wie der Auswahl neuer IT-Komponenten und Anwendungen. Er ist erste Anlaufstelle für alle Fragen der IT-Sicherheit. Da der IT-Sicherheitsbeauftragte von der Geschäftsleitung ernannt wird, ist er dieser meist auch direkt unterstellt. Er berichtet direkt an die Chefetage und verfügt in der Regel über ein eigenes Budget.

Welche Vorteile bietet ein ISMS?

Es ist kein Geheimnis: Ein IT-Sicherheitsmanagement zu implementieren ist mit Aufwand verbunden. Dieser Aufwand ist jedoch mehr als gerechtfertigt. Die positiven Auswirkungen eines ISMS überwiegen den initialen Aufwand deutlich.

Sicherung von Wettbewerbsvorteilen
Alle Tätigkeiten haben das Ziel, vorhandene Daten zu schützen. Ein ISMS lässt sich auf Größe und Struktur eines Unternehmens anpassen. Damit ist es nicht nur für Mittelständler und große Konzerne interessant. Auch für kleine Unternehmen rentiert sich ein ISMS. Die positiven Effekte reichen von transparenten Geschäftsprozessen bis zur vorteilhaften Außenwirkung. Wer nachweislich Sicherheitsmaßnahmen umgesetzt hat, sichert sich Wettbewerbsvorteile.

Sensibilisierung der Mitarbeitenden
Sie werden während der ISMS-Einführung Prozesse und Verfahren gestalten, diese etablieren und die zugehörigen Dokumente erstellen. Das bedeutet, dass sich Ihre Mitarbeitenden aktiv mit dem Thema Informationssicherheit befassen werden. Sie werden sich ebenfalls aktiv in den Gestaltungsprozess einbringen. Neben der prozessorientierten und technischen Einführung eines ISMS hat dies einen entscheidenden Vorteil. Ihre Mitarbeitenden werden eine besondere Sensibilität für das Thema “Sicherheit” entwickeln.

Steigerung der Datensicherheit
Durch ein Information Security Management treiben Sie das Thema Informationssicherheit voran. Sie verbessern den Schutz Ihrer Daten, die das Kapital Ihres Unternehmens sind. Besonders die Daten, die für das “Überleben” des Unternehmens wichtig sind, haben ein hohes Schutzbedürfnis. Das beinhaltet vor allem personenbezogene Daten. Diese Daten sind vielen Gefahren ausgesetzt. Eine davon ist der Verlust dieser Daten durch technische Fehler. Eine weitere ist der Diebstahl der Daten durch Dritte. Oft liegt der Ursprung eines solchen Diebstahls außerhalb des Unternehmens. Dennoch berücksichtigt ein ISMS auch das Risiko eines internen Datendiebstahls.

Aufdeckung von Schwachstellen
Während Sie ein ISMS umsetzen, analysieren Sie alle bestehenden Geschäftsprozesse. Dabei entdecken Sie potentielle Schwachstellen, die vorher nie aufgefallen sind. Die gesamte Risikobewertung wird auf ein vollkommen neues Niveau gehoben. Sie gewinnen Klarheit darüber, welche Geschäftsprozesse kritisch sind und welche Assets besonderen Schutz benötigen. Das ISMS sieht ebenso unabhängige Überprüfung der Prozesse vor. Das sorgt dafür, dass Schwachstellen erkannt werden, die bei einer internen Prüfung nicht beachtet werden.

Schnellere Wiederherstellung der Handlungsfähigkeit
Ein wichtiger Bestandteil eines ISMS ist ein Notfallplan. Dieser sorgt dafür, dass der Betrieb nach einem Zwischenfall auf dem schnellsten Wege wieder aufgenommen werden kann. Schäden lassen sich durch einen solchen Notfallplan minimieren oder verhindern.

Mit einem ISMS Investitionen besser planen

Bei der Planung von Investitionen fehlt häufig eine fundierte Grundlage, um Entscheidungen zielgerichtet und zukunftsweisend zu treffen. Nahezu allen Unternehmen ergeht es hier ähnlich: Baustellen gibt es genug. Doch wo setzen wir unser Kapital am besten ein? Gegenüber dem Wettbewerb wird eine bessere Positionierung angestrebt und nicht nur ein Stopfen von Löchern.

Durch die Daten im ISMS erkennen Sie sofort, welche Daten und Bereiche nicht ausreichend geschützt sind. Im Umkehrschluss erkennen Sie, wo Ihre Investitionen derzeit den größten Mehrwert schaffen. Erkennen Sie frühzeitig Risiken und deren Tragweite, argumentieren Sie ihre Budgets treffsicher. Nicht selten werden im Zuge einer ISMS Implementierung neue Risiken erkannt. Diese sind meist so noch nie in Betracht gezogen worden und genießen nun höchste Priorität.

Ein Wettbewerbsvorteil ist auch eine Zertifizierung nach ISO/IEC 27001. Kunden erkennen, dass Sie das Thema Informationssicherheit nach anerkannten Standards umsetzen und somit ein sehr hohes Sicherheitsniveau erreichen. Sie erhalten einen deutlichen Vertrauensvorschuss gegenüber Ihren Mitbewerbern. Zum anderen auditieren Sie jedoch auch jederzeit Ihre Lieferanten. Auf diesem Weg prüfen Sie, ob diese die vereinbarten Leistungen erbringen und dies in der ausreichenden Qualität tun.

Unternehmen und öffentliche Behörden stellen bei der Vergabe von Aufträgen Compliance-Richtlinien auf. Diesen Richtlinien muss ihr Unternehmen entsprechen, wenn es sich um einen Auftrag bewirbt. Mit einem ISMS sind Sie jederzeit in der Lage, die entsprechenden Nachweise zu liefern und somit Fristen einzuhalten.

Gehören ISMS und Datenschutz zusammen?

Der Datenschutz betrifft in erster Linie personenbezogene Daten. Spätestens seit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) ist dies besonders klar geworden. Dennoch spielt der Datenschutz in einem Informationssicherheits-Managementsystem keine besondere Rolle. Auch personenbezogene Daten werden im ISMS wie alle anderen Daten behandelt.

Dennoch dürfen Datenschutzbeauftragte, die sich vornehmlich der Sicherheit und Verarbeitung personenbezogener Daten widmen, aufatmen. Denn ein ISMS dient allgemein dem Schutz von Daten und somit auch dem Schutz dieser Daten. Verwechseln Sie ein Datenschutz-Management nicht mit einem ISMS. Dieses benötigt seinerseits Erweiterungen, um dem Datenschutz in rechtlicher und technischer Sicht gerecht zu werden.

Normen und Standards

ISO 27005 – IT Risikomanagement

Während sich die Norm ISO/IEC 27001 mit den Anforderungen an ein ISMS beschäftigt, beschreibt die ISO 27005 den Themenkomplex “Risikoanalyse und -management”. Dabei liefert die Norm eine genaue Anleitung zur IT-Risikoanalyse. Sie beinhaltet eine genaue Beschreibung der Prozesse, um eine effiziente Risikoanalyse zu etablieren. Darüber hinaus bietet die ISO 27005 ebenso eine detaillierte Schilderung der einzelnen Prozessschritte.

Den Schwerpunkt bildet hierbei die Einschätzung von Risiken und der Umgang damit. Die Werte eines Unternehmens werden durch verschiedene Faktoren direkt oder indirekt bedroht. Schwachstellen in Systemen oder Prozessen oder verschiedene Arten von Impacts sind hier zu nennen.

Neben der reinen Identifizierung von Risiken gehört natürlich auch das Management der Maßnahmen in diesen Bereich. Dabei wird aus den Anhängen der ISO 27005 auf die ISO 27001 referenziert. Durch diese Verknüpfung wird ein systematisches, dokumentiertes Vorgehen und die stetige Verbesserung der Prozesse erreicht.

Das IT-Grundschutz-Kompendium des BSI

BSI Standard 100 vs. BSI Standard 200

Die BSI Standards 100-1, 100-2 und 100-3 befassen sich ebenfalls mit dem Aufbau eines ISMS und dem Risikomanagement. Sie wurden vom Bundesamt für Sicherheit in der Informationstechnik herausgeben. Sie dienen Unternehmen als Leitfaden und Orientierungshilfe, um ein höheres Schutzniveau zu erreichen. Die "100er-Reihe" wurde im Oktober 2017 durch die BSI Standards 200-1, 200-2 und 200-3 vollständig abgelöst.

Der BSI Standard 200-1 ("Managementsysteme für Informationssicherheit") bescheibt die allgemeinen Anforderungen an ein ISMS. Dieser Standard ist direkt kompatibel mit der Norm ISO/IEC 27001. Ebenfalls werden in diesem Standard die Empfehlungen und Begrifflichkeiten der ISO-Norm berücksichtigt.

Der BSI 200-2 ("IT-Grundschutz-Methodik") bildet die Basis für die Umsetzung eines ISMS. Er enthält drei bewährte Vorgehensweisen für die Realisierung des IT-Grundschutzes. Bei der Basis-Absicherung wird zunächst die Einführung eines ISMS betrachtet. Mit der Kern-Absicherung wird ein Weg beschrieben, wie ein kleinerer Teil eines größeren IT-Verbundes mit einem ISMS abgedeckt wird. Die Standard-Absicherung liefert dann schließlich die Beschreibung eines vollständigen Sicherheitsprozesses.

Im Standard BSI 200-3 ("Risikomanagement") sind alle risikobezogenen Arbeitsschritte für die Umsetzung des IT-Grundschutzes gebündelt. Dies schließt die Ermittlung von elementaren Gefährdungen, die Risikoeinstufung und die Behandlung von Risiken ein. Empfohlen wird dieser Standard für Organisationen, die sich bereits erfolgreich mit der IT-Grundschutz-Methodik auseinandergesetzt haben. Gegenüber dem Vorläufer BSI 100-3 wurde in diesem neuen Standard der Aufwand zur Erreichung eines definierten Schutzniveaus reduziert.

Die Umsetzung eines ISMS

Schutzbereiche identifizieren

Zunächst einmal müssen sie den Bereich des ISMS eingrenzen. Mögliche Schutzbereiche sind:

Risiken identifizieren und bewerten

Maßnahmen und Verantwortlichkeiten

Für jedes Risiko können Sie nun verschiedene Maßnahmen aus dem Maßnahmenkatalog auswählen. Diese Maßnahmen können z. B. dazu dienen, die Eintrittswahrscheinlichkeit zu reduzieren oder den entstehenden Schaden zu verringern.

Häufig sind die Smartphones der Mitarbeiter mit verschiedenen Diensten verbunden, um auf wichtige Dokumente und Kundendaten zugreifen zu können. Ein mögliches Risiko wäre hier der “Verlust eines Smartphones”. Beim Verlust des Geräts könnten Unberechtigte auf die Daten zugreifen. Im schlimmsten Fall können die Daten verändert, verkauft oder anderweitig missbraucht werden. Die Folge wäre ein finanzieller und / oder Imageschaden.

Eine Maßnahme, um das Schadensausmaß zu reduzieren, wäre die Möglichkeit, die Daten auf verlorenen Smartphones aus der Ferne zu löschen. Eine weitere Maßnahme ist der Rollout einer Sicherheitsrichtlinie, die auf allen mobilen Endgeräten 6-stellige PIN-Codes vorschreibt. Dadurch würde die Eintrittswahrscheinlichkeit auch bei Verlust des Geräts deutlich gesenkt werden.

Kontinuierliche Verbesserung (KVP)

Das i-doit ISMS

Für die Umsetzung eines ISMS sind folgende Maßnahmen zu treffen:

Je größer Ihr Unternehmen ist, desto mehr Nachweise müssen Sie führen. Das i-doit ISMS unterstützt Sie bei der Umsetzung eines Information Security Management Systems. Das System ermöglicht es Ihnen, dieses ISMS zentral verfügbar zu halten.

Funktionen

Ganz gleich, ob Sie Ihr Unternehmen zukünftig besser aufstellen wollen oder eine Zertifizierung nach ISO27001 erreichen möchten. Unser ISMS unterstützt Sie maßgeblich bei der Vorbereitung und Umsetzung. Zu sämtlichen Assets Ihres Unternehmens können Sie

• Risiken betrachten
• interne und externe (elementare) Gefährdungen bestimmen und
• präventive sowie korrektive Maßnahmen zuordnen.

Somit können Sie Ihr gesamtes Risikomanagement abbilden und organisieren. Mit dem ISMS erhalten Sie die notwendigen Kataloge des BSI (IT-Grundschutz Kompendium) sowie der ISO27001 und B3S. Somit entfällt das mühselige Anlegen der Bedrohungen, Schwachstellen, Gefahren und Maßnahmen vollständig.

Status und Reporting der Umsetzung

Die Umsetzung eines ISMS ist mit einem nicht zu unterschätzenden Aufwand verbunden. Gefahren zu erkennen und Maßnahmen zu treffen ist ein wichtiger Bestandteil. Doch auch der Fortschritt des gesamten Projekts und die Umsetzung der getroffenen Maßnahmen muss nachvollziehbar sein. Dazu bietet unsere Lösung ein umfangreiches Reporting für jedes Asset. Hierzu können z. B. neben den getroffenen Maßnahmen

• verantwortliche Personen
• der Fortschritt der Umsetzung und
• die Risikoeinschätzung nach Gruppenzugehörigkeit

ausgewertet werden. Unterstützt wird ebenfalls die Risikoanalyse einzelner Standorte innerhalb eines Mandanten.

Verwaltung und Export von Berichten und Dokumenten

Sämtliche Assets können zentral durch verschiedene Anwender bearbeitet werden. Dazu können Sie einfach Benutzer anlegen oder Ihren Verzeichnisdienst wie z. B. Active Directory anbinden. Ihre bestehenden Sicherheitsgruppen integrieren Sie nahtlos und ermöglichen eine punktgenaue Konfiguration von Zugriffsrechten auf die jeweiligen Fachgebiete und Assets. Bei Bedarf können Sie alle Informationen in PDF-Dokumenten zusammenstellen oder als Excel-Berichte exportieren.

Die Vorteile des i-doit ISMS

Das i-doit ISMS ist eine vollständige Management-Suite für Informationssicherheit
nach ISO 27001 und IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI)