Der digitale Wandel ist in vollem Gange
Deshalb lohnt es sich, ein gut abgestimmtes Informationssicherheitsmanagementsystem einzuführen.
Als Kern eines vollständigen Sicherheitskonzepts legt ein solches System Regeln, Verfahren und Schritte fest. Mit ihnen steuern, prüfen und verbessern Unternehmen ihre Informationssicherheit und ihren Datenschutz.
Die Arbeitswelt verändert sich. Hochtechnische Geschäftsprozesse, plattformbasierte Geschäftsmodelle, „intelligente“ Geräte und Anlagen sowie vernetzte IT-Systeme und Softwareanwendungen prägen sie immer stärker.
Diese vernetzte und flexiblere Arbeitswelt ist allerdings auch verwundbarer. Seit Jahren steigt die Zahl gezielter Angriffe aus dem Internet auf Unternehmen fast jeder Größe und Branche.
Laut dem Bundeslagebild Cybercrime 2020 des BKA wurden allein im Jahr 2020 108.000 Delikte im Bereich Cybercrime erfasst. Die Dunkelziffer dürfte deutlich höher liegen, weil viele Angriffe nicht erkannt oder nicht gemeldet werden. Besonders oft registrierte das Bundeskriminalamt Angriffe mit Erpressungstrojanern, DDoS-Attacken und den Diebstahl digitaler Identitäten.
Bei so viel Cyberkriminalität gehört ein Informationssicherheitsmanagementsystem, kurz ISMS, weit oben auf die Liste.
Als Grundbaustein einer vollständigen Security-Strategie macht ein Information Security Management System die heutigen IT-Gefahren mit wirksamen Regeln, Methoden, Prozessen und Werkzeugen beherrschbar und sichert Informationssicherheit und Datenschutz auf Dauer.
Informationen sind die Kronjuwelen eines Unternehmens
Informationen waren schon immer die Grundlage für geschäftlichen und persönlichen Erfolg. Das gilt für technisches Know-how ebenso wie für das Wissen über die Zielgruppe oder über Produktions- und Herstellungsverfahren. Ohne diese Informationen kann ein Unternehmen weder fundierte Entscheidungen treffen noch Vorsprung vor der Konkurrenz gewinnen. Sie sind wertvolles Vermögen und brauchen einen angemessenen Schutz durch IT-Sicherheitsmaßnahmen.
Der Datenschutz im Sinne der Europäischen Datenschutzgrundverordnung schützt personenbezogene Daten und vor allem das Recht auf informationelle Selbstbestimmung. Bei der Informationssicherheit geht es um den Schutz von Informationen, Daten und Systemen insgesamt.
Sie umfasst alle technischen und organisatorischen Maßnahmen, die Vertraulichkeit, Verfügbarkeit und Integrität schützenswerter Informationen im Unternehmen sichern, teils auch ihre Echtheit und Verbindlichkeit. Dabei spielt es keine Rolle, ob die Informationen digital auf einem Server liegen, auf Papier oder im „Kopf“ eines Mitarbeiters. Zur Informationssicherheit gehört deshalb auch die Datensicherheit, also der Schutz aller Daten, auch solcher ohne Bezug zu personenbezogenen Daten nach der Europäischen Datenschutzgrundverordnung.
In Deutschland richtet sich die Informationssicherheit vor allem nach dem IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik, kurz BSI. Zusammen mit den internationalen Zertifizierungsrichtlinien der DIN EN ISO/IEC 27001 gibt er Unternehmen einen strukturierten Weg vor, um ein Information Security Management System aufzubauen und einzuführen.
Informationsschutz braucht ein System
Einfach gesagt ist ein Information Security Management System ein Managementsystem für die Informationssicherheit. Wer ein Informationssicherheitsmanagementsystem auf Grundlage des IT-Grundschutzes, nach den internationalen Richtlinien der DIN EN ISO/IEC 27001 oder nach ISIS12 umsetzt, legt Prozesse für Planung, Steuerung und Kontrolle fest. Sie halten die Informationssicherheit im Betrieb dauerhaft aufrecht.
Vor allem soll ein ISMS mögliche Gefahren für die Informationssicherheit erkennen, analysieren und verringern und damit ein angemessenes Schutzniveau für die Informationen im Unternehmen herstellen. Ohne ein solches Managementsystem lässt sich Informationssicherheit kaum systematisch umsetzen.
Aus Sicht des Datenschutzes muss ein Informationssicherheitsmanagementsystem alle schutzwürdigen Informationen im Betrieb abdecken, personenbezogene Daten ebenso wie alle anderen.
Ein ISMS entsteht in vier Schritten
Ein solches Managementsystem einzuführen, ist ein vielschichtiges Vorhaben. Meist wird die Einführung deshalb in mehrere Schritte aufgeteilt:
Ziele und Umfang festlegen
Zuerst legen Sie die Ziele des Systems fest. Dazu gehört, klar zu regeln, für welche Bereiche das Managementsystem gilt und wo seine Grenzen liegen. Außerdem halten Sie fest, was das Informationssicherheitsmanagementsystem leisten soll und welche Werte und Informationen des Betriebs es schützt.Gefahren erkennen und einordnen
Im zweiten Schritt analysieren Sie die Einsatzbereiche gründlich. Sie ermitteln den aktuellen Stand der Informationssicherheit, um mögliche Risiken zu erkennen und einzuordnen. Für die Bewertung gibt es verschiedene Methoden. Am Ende sollte klar sein, welche Folgen ein Risiko haben kann und wie wahrscheinlich es eintritt.Gegenmaßnahmen auswählen und umsetzen
Auf Basis der Risikobewertung entstehen im dritten Schritt Maßnahmen, die Risiken verringern und eine angemessene Reaktion auf Sicherheitsvorfälle erlauben. Sie gelten für alle Bereiche und Abteilungen des Unternehmens und betreffen digitale Abläufe ebenso wie analoge.Wirksamkeit prüfen und nachbessern
Im vierten Schritt werden die beschlossenen Maßnahmen laufend beobachtet, überprüft und nachjustiert. Zeigen sich dabei Abweichungen vom Soll-Zustand oder neue Risiken, beginnt der gesamte Information Security-Prozess von vorn.
Ein ISMS hält die Informationssicherheit dauerhaft hoch
Mit gestohlenen Informationen lässt sich viel Geld verdienen. Deshalb kann es sich heute kein Unternehmen mehr leisten, den Schutz von Informationen und Daten zu vernachlässigen. Mit einem Informationssicherheitsmanagementsystem senken Unternehmen über Regeln, Vorgehensweisen, Verfahren und Werkzeuge ihre IT-Risiken für Informationssicherheit und Datenschutz und reagieren angemessen auf Bedrohungen.
Außerdem verlangt die Europäische Datenschutzgrundverordnung in Artikel 32 der EU-DSGVO von Unternehmen ein Sicherheitsniveau für personenbezogene Daten, das dem Risiko angemessen ist. Bei Verstößen drohen hohe Strafen.
Ein Informationssicherheitsmanagementsystem ersetzt allerdings kein vollständiges Datenschutzmanagementsystem. Es ergänzt dieses um technische und organisatorische Maßnahmen nach den datenschutzrechtlichen Vorgaben.
Deshalb sollten der Informationssicherheitsbeauftragte und der Datenschutzbeauftragte eng zusammenarbeiten.
Vielleicht planen Sie ein Information Security Management System oder haben Fragen zu Informationssicherheit und Datenschutz.
Wir bei aconitas unterstützen Sie bei der Einführung und dem Betrieb eines Informationssicherheitsmanagementsystems nach DIN EN ISO/IEC 27001, BSI IT-Grundschutz oder ISIS12. Sprechen Sie uns an.
