Informationssicherheit braucht ein System – nicht nur einzelne Maßnahmen
Firewalls, Virenschutz, Backups und Mehrfaktor-Authentifizierung sind wichtige Bausteine der Informationssicherheit. Für sich allein ergeben sie jedoch noch keine belastbare Sicherheitsorganisation.
Ein Informationssicherheitsmanagementsystem – kurz ISMS – verbindet technische, organisatorische und personelle Maßnahmen zu einem gesteuerten Gesamtprozess. Es legt fest, welche Informationen geschützt werden müssen, welche Risiken bestehen, wer Entscheidungen trifft und wie die Wirksamkeit der Maßnahmen überprüft wird.
Die ISO/IEC 27001 beschreibt Anforderungen an den Aufbau, die Umsetzung, die Aufrechterhaltung und die kontinuierliche Verbesserung eines ISMS. Der Standard ist grundsätzlich für Organisationen jeder Größe und Branche anwendbar.
Auch das BSI versteht ein ISMS als dauerhaftes Managementsystem, das im laufenden Betrieb gepflegt, kontrolliert und weiterentwickelt werden muss.
Ein ISMS ist deshalb kein einmaliges Projekt und keine bloße Sammlung von Richtlinien. Es ist ein wiederkehrender Steuerungsprozess.
1. Ziele und Geltungsbereich eindeutig festlegen
Bevor Risiken bewertet oder Richtlinien geschrieben werden, muss klar sein, welchen Teil des Unternehmens das ISMS umfasst.
Der sogenannte Geltungsbereich kann beispielsweise einschließen:
- das gesamte Unternehmen,
- einen einzelnen Standort,
- eine Geschäftseinheit,
- bestimmte Dienstleistungen,
- einen IT-Betrieb,
- eine Produktionsumgebung,
- besonders kritische Geschäftsprozesse.
Ein zu großer Geltungsbereich kann die Einführung unnötig aufwendig machen. Ein zu kleiner Geltungsbereich birgt dagegen die Gefahr, wesentliche Abhängigkeiten und Schnittstellen zu übersehen.
Die Festlegung sollte deshalb nachvollziehbar beantworten:
- Welche Leistungen und Prozesse werden einbezogen?
- Welche Standorte gehören dazu?
- Welche Systeme und Anwendungen werden betrachtet?
- Welche Dienstleister und Cloud-Plattformen sind relevant?
- Welche organisatorischen Einheiten tragen Verantwortung?
- Welche Schnittstellen bestehen zu nicht einbezogenen Bereichen?
Ebenso wichtig ist die Zielsetzung. Ein ISMS kann unterschiedlichen Zwecken dienen:
- Schutz kritischer Informationen,
- Erfüllung von Kundenanforderungen,
- Vorbereitung auf ISO 27001 oder TISAX,
- Umsetzung regulatorischer Pflichten,
- Verbesserung der Betriebsstabilität,
- strukturierte Steuerung von Cyberrisiken.
Ohne ein klares Ziel wird das ISMS schnell zu einer umfangreichen Dokumentation ohne erkennbare Priorität.
2. Verantwortung in der Organisation verankern
Informationssicherheit darf nicht ausschließlich bei der IT-Abteilung liegen.
Die Geschäftsleitung trägt die Verantwortung dafür, dass angemessene Rahmenbedingungen, Ressourcen und Zuständigkeiten geschaffen werden. Sie muss wesentliche Risiken verstehen, Prioritäten freigeben und Entscheidungen nachvollziehbar treffen.
Für den laufenden Betrieb sollten mindestens folgende Rollen geklärt werden:
- Geschäftsleitung,
- Informationssicherheitsbeauftragter,
- IT-Verantwortliche,
- Prozessverantwortliche,
- Datenschutzbeauftragter,
- Personalverantwortliche,
- Einkauf und Lieferantenmanagement,
- Notfall- und Krisenverantwortliche.
Dabei müssen nicht alle Rollen von unterschiedlichen Personen übernommen werden. Gerade in kleineren Unternehmen können Aufgaben gebündelt werden. Entscheidend ist, dass Zuständigkeiten eindeutig sind und mögliche Interessenkonflikte berücksichtigt werden.
Eine praxistaugliche Rollenbeschreibung sollte festhalten:
- welche Aufgaben übernommen werden,
- welche Entscheidungen getroffen werden dürfen,
- welche Berichte erwartet werden,
- welche Eskalationswege gelten,
- wer im Vertretungsfall zuständig ist.
Unklare Verantwortung führt häufig dazu, dass erkannte Risiken zwar dokumentiert, aber nicht bearbeitet werden.
3. Schützenswerte Informationen und Prozesse erfassen
Ein ISMS schützt nicht nur technische Geräte. Im Mittelpunkt stehen Informationen und die Geschäftsprozesse, die von ihnen abhängen.
Dazu gehören beispielsweise:
- Kunden- und Vertragsdaten,
- personenbezogene Daten,
- Entwicklungsunterlagen,
- Kalkulationen und Preislisten,
- Zugangsdaten,
- Produktionsinformationen,
- Finanzdaten,
- interne Kommunikationsinhalte,
- Geschäftsgeheimnisse,
- technische Konfigurationen.
Für eine belastbare Übersicht sollte das Unternehmen erfassen, wo diese Informationen gespeichert, verarbeitet und übertragen werden.
Dabei sind nicht nur zentrale Server zu berücksichtigen, sondern auch:
- Microsoft 365 und andere Cloud-Dienste,
- mobile Geräte,
- private oder externe Speicherorte,
- E-Mail-Systeme,
- Kollaborationsplattformen,
- Fachanwendungen,
- Papierunterlagen,
- externe Dienstleister,
- Datensicherungen,
- Produktions- und Steuerungssysteme.
Die Erfassung muss nicht zwangsläufig in einer komplizierten Datenbank erfolgen. Für viele mittelständische Unternehmen reicht zunächst eine strukturierte Übersicht aus Prozess, Information, System, Verantwortlichem und Schutzbedarf.
4. Risiken nachvollziehbar bewerten
Risikomanagement ist der Kern eines ISMS.
Die ISO/IEC 27001 verlangt, dass Informationssicherheitsrisiken im jeweiligen organisatorischen Kontext bewertet und behandelt werden.
Eine Risikobewertung sollte mindestens folgende Fragen beantworten:
- Welches schützenswerte Objekt ist betroffen?
- Welche Bedrohung könnte eintreten?
- Welche Schwachstelle könnte ausgenutzt werden?
- Welche Auswirkungen wären möglich?
- Wie wahrscheinlich ist das Szenario?
- Welche Maßnahmen bestehen bereits?
- Welches Restrisiko bleibt bestehen?
Typische Risikoszenarien sind beispielsweise:
- Ausfall eines kritischen Cloud-Dienstes,
- Diebstahl eines mobilen Geräts,
- unberechtigter Zugriff auf Kundeninformationen,
- Verschlüsselung von Systemen durch Schadsoftware,
- Fehlkonfiguration von Benutzerrechten,
- Ausfall eines wichtigen Dienstleisters,
- Veröffentlichung vertraulicher Dokumente,
- Verlust von Produktionsdaten,
- fehlgeschlagene Wiederherstellung eines Backups.
Das Bewertungsverfahren sollte verständlich und wiederholbar sein. Eine scheinbar wissenschaftliche Genauigkeit mit komplizierten Zahlenmodellen ist nicht erforderlich, wenn die zugrunde liegenden Annahmen nicht belastbar sind.
Wichtiger ist eine einheitliche Priorisierung, aus der konkrete Entscheidungen folgen.
5. Maßnahmen realistisch auswählen und priorisieren
Aus der Risikobewertung werden Sicherheitsmaßnahmen abgeleitet.
Diese können technischer, organisatorischer, personeller oder physischer Natur sein.
Beispiele sind:
- Mehrfaktor-Authentifizierung,
- Berechtigungsmanagement,
- Datensicherung und Wiederherstellungstests,
- Patch- und Schwachstellenmanagement,
- Verschlüsselung,
- Netzwerksegmentierung,
- Notfallplanung,
- Mitarbeiterschulungen,
- Lieferantenprüfungen,
- sichere Konfiguration von Cloud-Diensten,
- geregelter Ein- und Austritt von Beschäftigten,
- physischer Zutrittsschutz,
- Protokollierung sicherheitsrelevanter Ereignisse.
ISO/IEC 27002 ergänzt die Anforderungen der ISO/IEC 27001 durch Empfehlungen und bewährte Kontrollmaßnahmen, unter anderem zu Zugriffsschutz, Kryptografie, Personal, Betrieb und Reaktion auf Sicherheitsvorfälle.
Nicht jede Maßnahme muss sofort umgesetzt werden. Sinnvoll ist eine Priorisierung nach Risiko und Dringlichkeit:
- akute kritische Schwachstellen,
- grundlegende organisatorische Lücken,
- Maßnahmen zur Betriebs- und Wiederherstellungsfähigkeit,
- längerfristige Verbesserungen,
- formale Optimierung der Dokumentation.
Jede geplante Maßnahme sollte mindestens enthalten:
- verantwortliche Person,
- Priorität,
- Zieltermin,
- Umsetzungsstatus,
- benötigte Ressourcen,
- erwarteter Nachweis.
So wird aus einer Risikoliste ein steuerbarer Maßnahmenplan.
6. Dokumentation praxistauglich gestalten
Ein ISMS benötigt Dokumentation. Die Dokumentation sollte aber den Betrieb unterstützen und nicht zum Selbstzweck werden.
Typische Dokumente sind:
- Informationssicherheitsleitlinie,
- Rollen- und Verantwortlichkeitsmodell,
- Geltungsbereich,
- Inventar relevanter Werte und Systeme,
- Risikobewertungen,
- Maßnahmenplan,
- Berechtigungskonzept,
- Backup- und Wiederherstellungskonzept,
- Notfall- und Vorfallmanagement,
- Richtlinien für mobiles Arbeiten,
- Regelungen für Dienstleister,
- Schulungsnachweise,
- Prüf- und Freigabeprotokolle.
Für jedes Dokument sollten festgelegt werden:
- verantwortlicher Eigentümer,
- Freigabestatus,
- Gültigkeitsbereich,
- Versionsstand,
- Prüfintervall,
- Ablageort.
Veraltete oder widersprüchliche Dokumente können gefährlicher sein als fehlende Dokumente, weil sie eine Sicherheit vortäuschen, die im Betrieb nicht mehr besteht.
Deshalb sollte nur das dokumentiert werden, was tatsächlich umgesetzt, verstanden und regelmäßig gepflegt werden kann.
7. Wirksamkeit regelmäßig überprüfen
Ein ISMS endet nicht mit der Veröffentlichung der Richtlinien.
Es muss regelmäßig geprüft werden, ob die vorgesehenen Maßnahmen funktionieren. Dazu können unter anderem gehören:
- interne Audits,
- technische Sicherheitsprüfungen,
- Schwachstellen-Scans,
- Wiederherstellungstests,
- Berechtigungsprüfungen,
- Notfallübungen,
- Kontrolle offener Maßnahmen,
- Auswertung von Sicherheitsvorfällen,
- Lieferantenbewertungen,
- Managementbewertungen.
Die ISO/IEC 27001 folgt dem Grundgedanken der fortlaufenden Verbesserung: Maßnahmen werden geplant, umgesetzt, geprüft und bei Bedarf angepasst.
Eine regelmäßige Managementbewertung sollte beispielsweise klären:
- Haben sich Risiken oder Rahmenbedingungen verändert?
- Sind neue Systeme oder Dienstleister hinzugekommen?
- Welche Vorfälle sind aufgetreten?
- Wurden beschlossene Maßnahmen umgesetzt?
- Haben Kontrollen Schwachstellen gezeigt?
- Sind zusätzliche Ressourcen erforderlich?
- Welche Ziele gelten für den nächsten Zeitraum?
So bleibt das ISMS mit der tatsächlichen Entwicklung des Unternehmens verbunden.
Ein ISMS muss zur Organisation passen
Ein funktionierendes ISMS erkennt man nicht an der Anzahl seiner Dokumente.
Entscheidend ist, ob das Unternehmen seine wesentlichen Informationen, Prozesse und Risiken kennt und Sicherheitsmaßnahmen nachvollziehbar steuert.
Für kleinere und mittlere Unternehmen ist ein schrittweiser Aufbau meist sinnvoller als der Versuch, sofort ein vollständiges Normsystem zu kopieren.
Ein praxistauglicher Einstieg kann so aussehen:
- Geltungsbereich festlegen
- Verantwortlichkeiten klären
- kritische Prozesse und Informationen erfassen
- Risiken bewerten
- vorhandene Maßnahmen prüfen
- wesentliche Lücken priorisieren
- Dokumentation konsolidieren
- Prüf- und Verbesserungsprozess etablieren
Damit entsteht eine tragfähige Grundlage, die später bei Bedarf an ISO 27001, TISAX, NIS2 oder konkrete Kundenanforderungen angepasst werden kann.
Möchten Sie Ihre Informationssicherheit strukturiert aufbauen?
ProtectYourIT prüft vorhandene Prozesse, Dokumentationen und Sicherheitsmaßnahmen und entwickelt daraus einen realistischen Fahrplan für ein praxistaugliches ISMS.
ISMS-Aufbau einordnen lassen –>
Hinweis: Dieser Beitrag dient der allgemeinen Orientierung. Der konkrete Aufbau eines ISMS sollte an Größe, Geschäftsmodell, Risiken und Anforderungen der jeweiligen Organisation angepasst werden.
In diesem Beitrag