ISMS

now browsing by tag

 
 

Hilfestellungen für den Aufbau eines ISMS

Leitfaden der CARMAO zur Einführung eines Informationssicherheits-Managementsystems

Informationssicherheits-Managementsysteme (ISMS) werden zu einem zentralen Baustein der Security-Strategien der Unternehmen. Das Beratungshaus CARMAO hat deshalb einen Leitfaden zur strategischen Ausrichtung und Einführung eines ISMS herausgegeben.

Wer eine stabile Basis in der Informationssicherheit will, muss sich mit sehr vielfältigen Komponenten beschäftigen und sie zu einem homogenen Gesamtsystem zusammenfügen. Es besteht aus Regeln, Prozessen, Rollen und Verantwortlichkeiten, um die Sicherheitsverhältnisse zu definieren, zu steuern und kontinuierlich zu optimieren. Auch die adäquate Berücksichtigung gesetzlicher Vorschriften gehört dazu. Ohne eine durchgängige Grundstruktur bleiben mögliche Schwächen in der Sicherheitsinfrastruktur unentdeckt und fehlt es in Problemfällen an klaren Abläufen und Zuständigkeiten. „Durch ein ISMS wird die erforderliche klare Grundordnung geschaffen“, betont Ulrich Heun, Geschäftsführer der CARMAO GmbH.

Derzeit verfügt jedoch erst jedes zehnte Unternehmen über ein zertifizierbares Managementsystem für die Informationssicherheit. Weitere 15 Prozent nutzen ein partielles bzw. nicht nach einer internationalen Norm wie ISO 27001 zertifizierbares ISMS. Allerdings befinden sich derzeit 35 Prozent der Unternehmen in der Planungsphase oder bereits im Realisierungsprozess eines solchen Managementsystems. „Es ist seit letztem Jahr ein deutlicher Ruck durch den Markt gegangen“, verweist Heun auf die Ergebnisse einer eigenen Untersuchung zur Verbreitung dieser Managementsysteme zur Steigerung der Unternehmensresilienz. Letztlich tragen zur wachsenden Verbreitung der ISMS auch neue gesetzliche Regelungen wie das IT-Sicherheitsgesetz oder die europäische Datenschutzverordnung EU-DSGVO wesentlich bei.

Insbesondere für Firmen und Organisationen, die den Aufbau eines ISMS auf ihrer strategischen Agenda stehen haben, hat CARMAO einen Leitfaden herausgegeben. Die Praxishilfe kann kostenlos unter kontakt@carmao.de bestellt werden.

Über:

CARMAO GmbH
Herr Ulrich Heun
Walderdorffer Hof / Fahrgasse 5
65549 6554 Limburg
Deutschland

fon ..: +49 6431 28333-30
web ..: http://www.carmao.de
email : kontakt@carmao.de

Die 2003 gegründete CARMAO GmbH bietet mit einem Expertenpool von etwa 60 zertifizierten Consultants Beratung, Dienstleistungen und Seminare mit den Schwerpunkten Informationssicherheit, IT-Risikomanagement, IT-Compliance sowie Datenschutz an. Zu den Besonderheiten von CARMAO gehören das Framework CHARISMA zur intelligenten und aufwandsschonenden Projektrealisierung sowie ein eigenes Forensik-Labor. Für ihre zunehmend global tätigen Kunden ist das Beratungshaus sowohl national als auch international aktiv. Zum Kundenstamm zählen verschiedene DAX- und eine Vielzahl weiterer renommierter Unternehmen aus allen wichtigen Branchen.

Pressekontakt:

denkfabrik groupcom GmbH
Herr Wilfried Heinrich
Pastoratstraße 6
50354 Hürth

fon ..: 02233 / 6117 – 72
web ..: http://www.denkfabrik-group.com
email : wilfried.heinrich@denkfabrik-group.com

Die Politik treibt die Einführung von Sicherheitsmanagementsystemen an

CARMAO-Befragung: Gestiegene gesetzliche Anforderungen ein stärkeres Motiv als die wachsenden Cyber-Risiken

BildFührten Unternehmen bisher viele Gründe an, warum sie auf ein Informationssicherheits-Managementsystem (ISMS) verzichten wollen oder müssen, so hat sich die Situation inzwischen nicht nur wegen der steigenden Cyber-Gefahren gänzlich verändert. Noch stärker bewirken nach einer Befragung durch die CARMAO GmbH neue rechtliche Pflichten, dass sich nur eine Minderheit der Firmen dem Aufbau eines ISMS verweigert.

Derzeit verfügt erst jedes zehnte Unternehmen über ein zertifizierbares Managementsystem für die Informationssicherheit. Weitere 15 Prozent nutzen ein partielles bzw. nicht nach einer internationalen Norm wie ISO 27001 zertifizierbares ISMS. Noch mehr befinden sich gegenwärtig jedoch in der Planungsphase oder bereits im Realisierungsprozess. „Es ist seit letztem Jahr ein deutlicher Ruck durch den Markt gegangen“, beobachtet Ulrich Heun, Geschäftsführer des Beratungshauses CARMAO. „Die ist ein eindeutiger Reflex darauf, dass die Unternehmen durch das IT-Sicherheitsgesetz, die neue EU-Datenschutzverordnung und weitere gesetzliche Anforderungen in deutliche Handlungszwänge geraten sind. Dabei spielt ein ISMS fast immer eine wesentliche Rolle.“

Tatsächlich sind die rechtlichen Notwendigkeiten für die über 200 befragten IT-Sicherheitsverantwortlichen aus Unternehmen mit einem Jahresumsatz über 50 Mio. Euro auch das entscheidende Motiv für den Aufbau eines Informationssicherheits-Managementsystems. 56 Prozent nennen diesen Aspekt als hauptsächlichen Treiber, mehr als die steigenden Sicherheitsrisiken (51 Prozent). Aber bereits in jedem vierten Fall gehört zu den Motiven, dass Auftraggeber und andere Geschäftspartner ein ISMS einfordern.

Interessant ist allerdings auch die Frage nach der bisherigen Zurückhaltung. Hierbei zeigt sich, dass die Chefetage zu den Bremsern gehörte. Denn mehr als jeder zweite Befragte gibt in der CARMAO-Erhebung an, dass es für die Implementierung eines ISMS bisher an der Unterstützung durch die Geschäftsleitung mangelte. „Dass sich die Zurückhaltung im Top-Management nun offenbar deutlich geändert hat und sie dem Thema gegenüber zugänglicher sind, ist sicherlich einerseits den neuen gesetzlichen Verpflichtungen geschuldet, aber auch auf ein verändertes öffentliches Klima in der Wirtschaft zurückzuführen“, betont Heun.

Über:

CARMAO GmbH
Herr Ulrich Heun
Walderdorffer Hof / Fahrgasse 5
65549 6554 Limburg
Deutschland

fon ..: +49 6431 28333-30
web ..: http://www.carmao.de
email : kontakt@carmao.de

Die 2003 gegründete CARMAO GmbH bietet mit einem Expertenpool von etwa 60 zertifizierten Consultants Beratung, Dienstleistungen und Seminare mit den Schwerpunkten Informationssicherheit, IT-Risikomanagement, IT-Compliance sowie Datenschutz an. Zu den Besonderheiten von CARMAO gehören das Framework CHARISMA zur intelligenten und aufwandsschonenden Projektrealisierung sowie ein eigenes Forensik-Labor. Für ihre zunehmend global tätigen Kunden ist das Beratungshaus sowohl national als auch international aktiv. Zum Kundenstamm zählen verschiedene DAX- und eine Vielzahl weiterer renommierter Unternehmen aus allen wichtigen Branchen.

Pressekontakt:

denkfabrik groupcom GmbH
Herr Wilfried Heinrich
Pastoratstraße 6
50354 Hürth

fon ..: 02233 / 6117 – 72
web ..: http://www.denkfabrik-group.com
email : wilfried.heinrich@denkfabrik-group.com

Wie sich intern die Akzeptanz von ISMS-Projekten steigern lässt

Tipps der TÜV TRUST IT GmbH Unternehmensgruppe TÜV AUSTRIA für das interne Marketing beim Aufbau eines Informationssicherheits-Managementsystems

Ein sehr erfolgskritischer Faktor beim Aufbau eines Informationssicherheits-Managementsystems (ISMS) besteht in der Akzeptanz und breiten Mitwirkung innerhalb der gesamten Unternehmensorganisation. TÜV TRUST IT hat hierfür einige praxisbewährte Tipps zusammengestellt:

1. Ziele klar formulieren: In der gesamten Kommunikation müssen verschiedene Fragen deutlich beantwortet werden: Warum brauchen wir das? Was haben wir davon und wo wollen wir hin? Dies muss in einer Sprache geschehen, die für alle verständlich ist.

2. Management Commitment: Das gesamte Projekt steht und fällt mit dem Management Commitment. Steht die Geschäftsleitung nicht ausreichend hinter dem Projektvorhaben, ist die Wahrscheinlichkeit, dass das Projekt scheitert, sehr hoch. Notwendig ist auch, dass die Projektverantwortlichen vom Top-Management ausreichende Entscheidungsfreiräume erhalten.

3. Frühzeitig alle Beteiligte einbeziehen: Das ISMS betrifft zahlreiche Funktionen und Verantwortungsbereiche im Unternehmen, weil von ihnen vielfältige Informationen benötigt werden. Deshalb sollten frühzeitig Termine vereinbart werden, um diesen Personenkreis so unmittelbar wie möglich in den Planungsprozess für das ISMS einzubinden.

4. Klaren Kommunikationsprozess schaffen: Für alle Themen innerhalb des ISMS-Aufbaus muss klar sein, wen die Mitarbeiter zu welchem Thema ansprechen können. Dies gilt für inhaltliche Fragen, aber auch für Abstimmungen, organisatorische Aspekte, Terminvereinbarungen usw. Zusätzlich ist eine gemeinsame Dokumentenablage für das Projekt sowie eine gesonderte Kommunikationsplattform sinnvoll.

5. Alle Mitarbeiter informieren: Nur wenn ein ISMS unternehmensweit gelebt wird, kann es seine gewünschte Wirkung entfalten. Voraussetzung dafür ist, dass sich alle Mitarbeiter damit identifizieren. Dies gelingt nur, wenn sie über den Zweck, die Ziele sowie die Relevanz eines ISMS und die Projektphasen aufgeklärt werden. Zudem sollten sie über die internen Kommunikationsmedien (Newsletter, Mitarbeiterzeitung, Intranet etc.) oder Veranstaltungen Kenntnis von der Vorgehensweise und dem Zeitplan bekommen. Ein Gewinnspiel (oder Incentive), bei dem Mitarbeiter dazu motiviert werden, mögliche IT-Risiken zu finden bzw. zu benennen, könnte die Identifikation mit dem Projekt zusätzlich stärken.

6. Auftaktveranstaltung zum gegenseitigen Kennenlernen: Vor allem in größeren Unternehmen sind beim Aufbau eines ISMS zahlreiche Mitarbeiter eingebunden. Viele davon hatten vorher noch nie oder kaum Kontakt miteinander. Doch je harmonischer alle Beteiligten zusammenarbeiten, desto reibungsloser entwickelt sich das Projekt. Darum empfiehlt sich eine Auftaktveranstaltung, in der alle relevanten Projektinformationen präsentiert werden und möglicherweise auch der oder die involvierten Dienstleister vorgestellt werden. Eine Kombination mit teambildenden Maßnahmen kann ebenfalls zielführend sein.

7. Den unmittelbaren Kontakt mit den Abteilungen suchen: Je nach Organisation und Unternehmenskultur kann es ergänzend oder alternativ auch Sinn machen, das ISMS-Projekt innerhalb von Fachbereichen zu promoten. Auch hier dienen Meetings dazu, eine große Transparenz zu dem Vorhaben zu schaffen und sich der aktiven Mitwirkung zu vergewissern.

8. Auch über Teilerfolge informieren: Ganz wichtig für die Aufrechterhaltung der Motivation ist die Kommunikation von Teilerfolgen und die Erreichung von Meilensteinen. Dies gilt nicht nur gegenüber der Geschäftsführung bzw. anderen Entscheidungsträgern, sondern ebenso gegenüber den Mitarbeitern, die sich im Rahmen des Projekts in zusätzlichen Aufgaben engagieren müssen.

Über:

TÜV TRUST IT GmbH
Frau Christina Münchhausen
Waltherstraße 49-51
51069 Köln
Deutschland

fon ..: +49 )0)221 96 97 89 – 0
fax ..: +49 )0)221 96 97 89 – 12
web ..: http://www.it-tuv.com
email : info@it-tuv.com

Die TÜV TRUST IT GmbH ist bereits seit vielen Jahren erfolgreich als IT-TÜV tätig und gehört zur Unternehmensgruppe TÜV AUSTRIA. Von ihren Standorten Köln und Wien aus fungiert das Unternehmen als der neutrale, objektive und unabhängige Partner der Wirtschaft. Im Vordergrund stehen dabei die Identifizierung und Bewertung von IT-Risiken. Die Leistungen konzentrieren sich auf die Bereiche Management der Informationssicherheit, Mobile Security, Cloud Security, Sicherheit von Systemen, Applikationen und Rechenzentren, IT-Risikomanagement und IT-Compliance.

Pressekontakt:

denkfabrik groupcom GmbH
Herr Wilfried Heinrich
Pastoratstraße 6
50354 Hürth

fon ..: 02233 / 6117 – 72
web ..: http://www.denkfabrik-group.com
email : wilfried.heinrich@denkfabrik-group.com

Praxisseminar vermittelt Kenntnisse zur ISO 27001 und Einführung eines ISMS

Eine wichtige Voraussetzung für die Zertifizierung nach ISO/IEC 27001 ist die Einführung eines Information Security Management Systems (ISMS). Die IBS-Akademie bietet dazu ein praxisnahes Seminar an.

BildHamburg, 27. April 2017 – Die IBS Schreiber GmbH, ein führender Anbieter von Beratung, Schulung und Software für die Prüfung und Auditierung von SAP-Systemen, unterstützt Unternehmen bei der Einführung eines ISMS und der Zertifizierung nach ISO 27001. Im Rahmen eines praxisnahen Seminars erfolgt eine fundierte Einführung in die Anforderungen, außerdem werden zahlreiche Best-Practice-Tipps vermittelt und Hinweise zur Durchführung einer eigenständigen Risikoanalyse gegeben.

ISMS – Informationssicherheit als ganzheitlicher Ansatz

Die Informationssicherheit hat nicht nur den Schutz von Daten in IT-Systemen zum Ziel, sondern die Sicherheit aller Informationen, also auch Informationen, die beispielsweise nur auf Papier oder nur im Kopf eines Mitarbeiters gespeichert sind. Die Grundwerte der Informationssicherheit sind dabei die Verfügbarkeit, die Vertraulichkeit und die Integrität der Informationen.

Durch die Einführung eines Information Security Management Systems (ISMS) wird die Informationssicherheit im Unternehmen dauerhaft definiert, kontrolliert, aufrechterhalten und fortlaufend verbessert. Zu diesem Zweck beinhaltet ein ISMS eine Aufstellung von Verfahren und Regeln, an denen sich das Unternehmen auszurichten hat. Die Norm ISO/IEC 27001 spezifiziert die Anforderungen an ein ISMS. Sie betrachtet die Herstellung, den Betrieb, die Überwachung, die Wartung und die Verbesserung des ISMS.

Umsetzung der ISO 27001 und Risikomanagement zentrale Themen

Die Teilnehmer erlernen in diesem Seminar, wie ein ISMS nach ISO 27001 für ihr Unternehmen aufgebaut sein sollte und wie sie es prüfen und bewerten können. Dazu werden nicht nur Hintergründe der Informationssicherheit beleuchtet und die Struktur, Ziele und Anwendungsbereiche der Normenreiche 2700x, insbesondere der ISO/IEC 27001:2013, erläutert, sondern auch der Zweck und die Einführung eines ISMS anhand von Best-Practice-Beispielen dargestellt. Praxisnahe Tipps zur Organisation der Informationssicherheit und der Formulierung von Policies (Richtlinien) und Prozessen im ISMS sowie Einblick in die Kombination mit einem Business Continuity Management runden diesen Teil des Seminars ab.

Einen weiteren Schwerpunkt bildet Information Security Risk Management. Nach einer Einführung in das Risikomanagement werden insbesondere die Anforderungen an und Best Practices für das IS-Risikomanagement gemäß ISO/IEC 27001:2013 und anderen Vorgaben besprochen. Dabei wird der Risikomanagement-Prozess (Asset-Inventarisierung, Schutzbedarf, Gefährdungen, Risiko, Maßnahmen) behandelt und ein Best-Practice-Vorgehen für Information Security Risiko-Assessments vorgestellt. Viele Fallbeispiele aus der Praxis machen das Seminar besonders wertvoll für die Teilnehmer.

Das zweitägige Seminar findet am 8. und 9. Juni in der IBS-Akademie in Hamburg statt. Als Referenten konnten mit Alexander Clemm und Matthias Wehrhahn zwei ausgewiesene Experten für ISMS-Projekte gewonnen werden. Herr Alexander Clemm hat als Prüfungsleiter bei Ebner Stolz langjährige Erfahrung im Bereich der Durchführung und Leitung von zahlreichen IT-Compliance-Prüfungen (CISA). Zudem führt er als zertifizierter ISO 27001 Lead Auditor und zertifizierter IT-Sicherheitsmanager (CISM) IT-Risikoanalysen und ISMS-Implementierungen durch. Darüber hinaus kann Herr Clemm als zertifizierter ISO 22301 Lead Auditor auf erfolgreiche Implementierungsprojekte im Bereich Business Continuity Management zurückblicken. Herr Matthias Wehrhahn ist Consultant im Bereich der Informationssicherheit bei der Veritas Management Group GmbH & Co. KG. Als CISA und zertifizierter ISO 27001 Lead Auditor führt er unter anderem ISO 27001 und IT-Grundschutz Implementierungen durch. Zudem ist er als Berater im Bereich von Internen Kontrollsystemen und der Prozessoptimierung tätig.

„Die Einführung eines ISMS ist ein wichtiger Meilenstein für jedes Unternehmen, umso mehr im Zuge der unaufhaltsamen Digitalisierung. Legislative Änderungen erfordern zudem in zunehmendem Maße Zertifizierungen nach ISO/IEC 27001. Mit unserem Seminar können Unternehmen eine solide Basis für eine entsprechende Initiative im eigenen Haus legen und von unserem Praxiswissen profitieren“, sagt Alexander Clemm, Referent der IBS-Akademie und Prüfungsleiter bei Ebner Stolz.

„Die Zertifizierung nach ISO 27001 kristallisiert sich immer mehr zu einem wichtigen Qualitäts- und Differenzierungsmerkmal für Unternehmen heraus“, ergänzt Sebastian Schreiber, Geschäftsführer von IBS Schreiber.

Eine detaillierte Beschreibung des Seminars findet sich auf der Website unter:
https://www.ibs-schreiber.de/akademie/seminare/iso-27001-und-einfuehrung-eines-isms/

Das Akademieprogramm von IBS Schreiber bietet zudem mehr als einhundert Seminarthemen für Prüfung, Revision und Sicherheit von IT- und SAP®-Systemen: https://www.ibs-schreiber.de/akademie/

Über:

IBS Schreiber GmbH
Frau Lisa Niekamp
Zirkusweg 1
20359 Hamburg
Deutschland

fon ..: +49 40 69 69 85 68
web ..: http://www.ibs-schreiber.de
email : lisa.niekamp(at)ibs-schreiber.de

Über IBS Schreiber und CheckAud® for SAP® Systems
Die 1979 gegründete IBS Schreiber GmbH bietet ein einzigartiges Service- und Produktangebot für IT- und speziell SAP-Sicherheit, Datenschutz und Data Sciences an. Dabei kombiniert IBS Beratungs-, Prüfungs- und Serviceleistungen mit der Entwicklung spezieller Prüfsoftware und einem umfassenden Weiterbildungsangebot. Durch die Kombination von technischem, organisatorischem und fachlichem Know-how kann IBS alle Aspekte einer fundierten Governance, Risk & Compliance-Strategie (GRC) und IT-Sicherheitskonzeption aus einer Hand planen, prüfen und umsetzen.
Im Service- und Prüfungsgeschäft gehört das Unternehmen zu den führenden Experten für gesetzeskonforme und Compliance-gerechte Sicherheitskonzepte mit speziellem Fokus auf das Berechtigungsmanagement. IBS prüft IT- und SAP-Systeme auf ihre technische Sicherheit sowie die gesetzes- und regelkonforme Umsetzung von Berechtigungen, Zugriffsrechten und Prozessen. IBS bietet Datenschutz als Prüfungspaket, Beratung oder steht auch als externer Datenschutzbeauftragter zur Verfügung, mit langjähriger Erfahrung in der organisatorischen und technischen Beratung, Prüfung und Softwareerstellung. Als externer IT-Sicherheitsbeauftragter (ITSiBe) kann IBS seine Kunden in diesem speziellen Know-how auch operativ entlasten.
Mit mehr als einhundert Seminarthemen und vier jährlichen Fachkonferenzen ist IBS einer der größten und erfolgreichsten Anbieter von Schulungen, Seminaren und anderen Weiterbildungsformen für IT-Sicherheit, SAP-Sicherheit, Revision, Datenschutz und Datenanalyse im deutschsprachigen Raum. Durch die Synergien mit dem Prüfungs- und Beratungsgeschäft zeichnen sich die Veranstaltungen durch besonders hohe Praxisnähe und Anschaulichkeit aus. Mit dem Fachjournal Revisionspraxis PRev fördert IBS den Erfahrungsaustausch zwischen Revisoren, Wirtschaftsprüfern, IT-Sicherheits- und Datenschutzbeauftragten.
Zu den Kunden der IBS im Service- und Prüfungsgeschäft gehören u. a. das Technologieunternehmen Basler, Beiersdorf, die Ergo-Gruppe sowie die Schweizer Post. Weitere Informationen zum Unternehmen IBS Schreiber und dem Service- und Schulungsangebot unter www.ibs-schreiber.de.
Die GRC-Software CheckAud® for SAP® Systems ist ein professionelles Werkzeug zur umfassenden, effizienten und effektiven Prüfung von komplexen Zugriffsberechtigungen in SAP®-Systemen. Einzigartig ist der in der Software enthaltene ausgedehnte Katalog von mehreren Hundert vorkonfigurierten Prüfungen, für die IBS auch einen Aktualisierungsservice anbietet, der sowohl Veränderungen durch SAP®-seitige-Updates als auch durch geänderte gesetzliche Anforderungen umfasst.
Zu den Nutzern von CheckAud® for SAP® Systems gehören u. a. die Berliner Wasserbetriebe, Emil Frey, Knauf, MVV Energie und die Universität Graz. Weitere Informationen zum Produkt CheckAud® for SAP® Systems unter www.checkaud.de.

Pressekontakt:

bloodsugarmagic GmbH & Co. KG
Herr Bernd Hoeck
Gerberstraße 63
D-78050 Villingen-Schwenningen

fon ..: +4977219461222
web ..: http://www.bloodsugarmagic.com
email : bernd.hoeck@bloodsugarmagic.com

Typische Stolpersteine in ISMS-Projekten

Praxisbewährte Tipps der TÜV TRUST IT GmbH Unternehmensgruppe TÜV AUSTRIA für den Aufbau eines Informationssicherheits-Managementsystems

In immer mehr Unternehmen steht der Aufbau eines Informationssicherheits-Managementsystems nach der internationalen Norm ISO 27001 ganz vorne auf der strategischen Agenda. Das IT-Sicherheitsgesetz und neue regulative Anforderungen in verschiedenen Branchen unterstützen diese Entwicklung zusätzlich. Allerdings gestalten sich viele ISMS-Projekte schwieriger als erwartet, was nach den Erkenntnissen der TÜV TRUST IT häufig ähnliche Ursachen hat. Deshalb hat die TÜV TRUST IT typische Stolpersteine zusammengestellt.

1. Kein Management Commitment: Nur wenn sich das Top-Management als Befürworter eines ISMS bekennt, kann ein ISMS intern die notwendige und nachhaltige Bedeutung erlangen. Deshalb muss die Geschäftsleitung nicht nur von Beginn an in die Planung einbezogen werden, sondern das Projekt in seinen verschiedenen Etappen auch aktiv begleiten.

2.Unternehmens- und Sicherheitsziele nicht aufeinander abgestimmt: Die Einführung eines ISMS erfolgt nicht in einem freien Raum, sondern muss die spezifischen Sicherheitsanforderungen des Unternehmens abbilden. Demzufolge gilt es zu Beginn die Frage zu klären, welche Unternehmensziele verfolgt werden. Denn daraus leiten sich die konkreten Sicherheitsziele ab, die dann den maßgeblichen Rahmen für den Aufbau des ISMS bilden. Dieser Zusammenhang klingt fast zu logisch, als dass er unbedingt betont werden müsste. Tatsächlich jedoch sieht die Praxis anders aus und viele Projektprobleme haben ihren Ursprung in einer unzureichenden Zielbestimmung.

3. Der ISMS-Scope ist unklar definiert: Der Umfang des Managementsystems leitet sich daraus ab, welche Informationen und Werte eines Unternehmens geschützt werden müssen. Dabei sind nicht nur die an dem oder den Firmenstandorten gespeicherten Daten relevant, sondern ebenso solche, die sich beispielsweise in der Cloud befinden.

Oft werden die Geltungsbereiche von ISMS nach den Erfahrungen der TÜV TRUST IT auch im Vorhinein zu groß gewählt. Die daraus resultierenden Probleme sind vor allem unnötig lange Projektzeiten mit entsprechend höheren Kosten und ein schleichender Motivationsverlust durch fehlende Teilerfolge.

4. Bestandsaufnahme und GAP-Analyse sind nicht präzise genug: Auch Unternehmen ohne ISMS haben typischerweise bereits eine Reihe von Sicherheitsmaßnahmen umgesetzt. In einer differenzierten IST-Aufnahme in Bezug auf das ISMS werden diejenigen Bereiche identifiziert, die für eine Zertifizierung gemäß ISO/IEC 27001 unzureichend aufgestellt sind. Somit wird das Unternehmen darüber in die Lage versetzt, sowohl die notwendigen Aufwände und Kosten abzuschätzen, als auch den benötigten Zeitraum für die erforderlichen Optimierungen ermitteln zu können. Erfolgen diese Bestandsaufnahmen nicht angemessen genug, kann dies dazu führen, dass der Projektstart auf falschen Annahmen basiert und somit zu verfälschten Ergebnissen führt.

5. Keine passende Methodik für das Management von Informationssicherheitsrisiken: Das Management von Informationssicherheitsrisiken ist ein elementarer Bestandteil des ISMS. Es gilt hierfür eine angemessene Methodik zu entwickeln und diese umzusetzen. Ist diese nicht korrekt formuliert, werden potentielle Risiken ggf. nicht erkannt und Maßnahmen nicht angemessen genug umgesetzt, um die Informationssicherheit der zu schützenden Werte des Unternehmens sicherzustellen.

6. Es fehlt an fachlich passenden Ressourcen: Oft werden Mitarbeitern im Rahmen der ISMS-Einführung Aufgaben zugeordnet, ohne die Mehrbelastung und auch fachliche Qualifikation für diese Personen zu berücksichtigen. Doch wer keine Zeit hat, wird diese Rollen nicht in der erforderlichen Weise ausfüllen können. Dies bedeutet, dass nicht nur die personellen Verantwortlichkeiten innerhalb der ISMS-Prozesse definiert werden müssen, sondern dass sie durch eine realistische Ressourcenplanung und auch Ausbildung ergänzt werden müssen.

7. Zu granulare Maßnahmenumsetzung: Für die Umsetzung vom Sicherheitsmaßnahmen dient der Anhang A der Norm. Dieser bietet insgesamt 114 Referenzmaßnahmen aus verschiedenen Bereichen. Unternehmen sollten diese innerhalb des Risikomanagements auswählen und angemessen umsetzen. Wer einen Anspruch hat, sämtliche Maßnahmen zu 100 % umzusetzen, wird sich sehr schnell im Detail verlieren. Es gilt, alle Maßnahmen immer im Rahmen einer angemessenen Umsetzungstiefe zu definieren.

8. Zu aufwändige Dokumentation: Ein zu aufwändiges Dokumentenmanagement belastet die administrativen Ressourcen unnötig stark. Besser ist es, auf bestehende Vorlagen zurückzugreifen, wie sie etwa das ISMS-Framework der TÜV TRUST IT bietet. Es enthält sämtliche für den Aufbau und Betrieb eines ISMS notwendigen Dokumentenvorlagen sowie darüberhinausgehende Formulare und Tools, die als Nachweis der Wirksamkeit eingesetzt werden können. Außerdem sind inhaltliche Strukturvorgaben für Nachweisdokumente des Annex A sowie ein Benutzerleitfaden zum Aufbau von Dokumenteninhalten enthalten.

9. Es wird auf Awareness-Programme verzichtet: Das Informationssicherheits-Managementsystem funktioniert letztlich nur so gut, wie es von allen Prozessbeteiligten akzeptiert und gelebt wird. Insofern sind Awareness-Maßnahmen notwendig, die der aktiven Mitwirkung dienen. Wikis und andere Aktivitäten können zum internen ISMS-Marketing gehören. Zu den Adressaten gehören aber nicht nur die Mitarbeiter, sondern auch die Führungskräfte in den Fachabteilungen als Multiplikatoren.

10. Unzureichende Kennzahlen: Die Wirksamkeit des ISMS muss mit geeigneten Kennzahlen gemessen werden. Wer dieses Thema jedoch als nebensächlich bewertet, wird erfahrungsgemäß unzureichende oder gar falsche Kennzahlen nutzen. Und dies führt zu der Konsequenz, dass falsche Sicherheitsmaßnahmen beschlossen werden, was wiederum einen kontinuierlichen Verbesserungsprozess verhindert, der zu den Grundgedanken der ISO/IEC 27001:2013 gehört. Der notwendige kontinuierliche Verbesserungsprozess ist gleichzeitig auch ein Hinweis darauf, dass der Aufbau eines ISMS kein Projekt mit definiertem Ende ist, sondern einen Prozess mit kontinuierlichem Optimierungsbedarf darstellt.

Über:

TÜV TRUST IT GmbH
Frau Christina Münchhausen
Waltherstraße 49-51
51069 Köln
Deutschland

fon ..: +49 )0)221 96 97 89 – 0
fax ..: +49 )0)221 96 97 89 – 12
web ..: http://www.it-tuv.com
email : info@it-tuv.com

Die TÜV TRUST IT GmbH ist bereits seit vielen Jahren erfolgreich als IT-TÜV tätig und gehört zur Unternehmensgruppe TÜV AUSTRIA. Von ihren Standorten Köln und Wien aus fungiert das Unternehmen als der neutrale, objektive und unabhängige Partner der Wirtschaft. Im Vordergrund stehen dabei die Identifizierung und Bewertung von IT-Risiken. Die Leistungen konzentrieren sich auf die Bereiche Management der Informationssicherheit, Mobile Security, Cloud Security, Sicherheit von Systemen, Applikationen und Rechenzentren, IT-Risikomanagement und IT-Compliance.

Pressekontakt:

denkfabrik groupcom GmbH
Herr Wilfried Heinrich
Pastoratstraße 6
50354 Hürth

fon ..: 02233 / 6117 – 72
web ..: http://www.denkfabrik-group.com
email : wilfried.heinrich@denkfabrik-group.com

P&I Personal & Informatik AG setzt auf ein Informationssicherheitsmanagementsystem

TÜV TRUST IT GmbH Unternehmensgruppe TÜV AUSTRIA unterstützte das Zertifizierungsprojekt auf Basis des IT-Grundschutzes

Die P&I Personal & Informatik AG (P&I AG) hat mit Unterstützung der TÜV TRUST IT ein Informationssicherheitsmanagementsystem (ISMS) implementiert. Es wurde auf Basis der Anforderungen des BSI-Standards 100-2 aufgebaut, die anschließende Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz erfolgte durch das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Das Personalabrechnungsmanagement unterliegt hohen Datenschutz- und Sicherheitsanforderungen, insbesondere wenn es auch als Managed Service und über Cloud-Dienste bereitgestellt wird. Die P&I AG als eines der bedeutendsten Unternehmen der HR-Industrie in Europa mit rund 3.500 Kunden in 13 Ländern und etwa 400 Mitarbeitern ist sich der großen Verantwortung für die sensiblen Personaldaten ihrer Kunden bewusst. P&I bietet Softwarelösungen für alle Aufgaben der Personalwirtschaft an und entschied sich deshalb für die Implementierung eines Informationssicherheitsmanagementsystems (ISMS) nach ISO 27001. Mit Bezug auf die Anforderungen von öffentlichen Auftraggebern sollte das ISMS nach ISO 27001 auf der Basis von IT Grundschutz konzipiert werden. „Ursprung des ISMS-Projekts war, dass wir als führender Dienstleister im Bereich Human Ressources besondere Ansprüche an die Sicherheit der Kundendaten erfüllen müssen“, erläutert Takaaki Sato, Director Center of Data bei P&I.

Im Projekt wurden die IT-Grundschutz-Anforderungen strukturiert, eine geeignete Informationssicherheits-Organisation und das ISMS selbst aufgebaut. Dazu gehörte auch eine Prüfung, ob die IT-Systeme und organisatorischen Maßnahmen bereits alle Anforderungen normgerecht erfüllen. Anhand dieser Prüfungen ließen sich die soweit notwendigen Handlungserfordernisse identifizieren und daraus eine praxisgerechte Vorgehensweise mit angemessenen Maßnahmen für eine zügige Umsetzung erstellen. Das Projekt kennzeichnete sich durch eine ausgeprägte Kooperationskultur zwischen den Mitarbeitern des HR-Dienstleisters und den Beratern. „Die beidseitig pragmatische und kompetente Herangehensweise hat dazu geführt, in kürzester Zeit die IT-Grundschutz-Anforderungen für die P&I AG zu adaptieren und wirksame Maßnahmen umzusetzen“, zieht Projektleiter Martin Ennenbach von der TÜV TRUST IT ein positives Fazit.

Über:

TÜV TRUST IT GmbH
Frau Christina Münchhausen
Waltherstraße 49-51
51069 Köln
Deutschland

fon ..: +49 )0)221 96 97 89 – 0
fax ..: +49 )0)221 96 97 89 – 12
web ..: http://www.it-tuv.com
email : info@it-tuv.com

Die TÜV TRUST IT GmbH ist bereits seit vielen Jahren erfolgreich als IT-TÜV tätig und gehört zur Unternehmensgruppe TÜV AUSTRIA. Von ihren Standorten Köln und Wien aus fungiert das Unternehmen als der neutrale, objektive und unabhängige Partner der Wirtschaft. Im Vordergrund stehen dabei die Identifizierung und Bewertung von IT-Risiken. Die Leistungen konzentrieren sich auf die Bereiche Management der Informationssicherheit, Mobile Security, Cloud Security, Sicherheit von Systemen, Applikationen und Rechenzentren, IT-Risikomanagement und IT-Compliance.

Pressekontakt:

denkfabrik groupcom GmbH
Herr Wilfried Heinrich
Pastoratstraße 6
50354 Hürth

fon ..: 02233 / 6117 – 72
web ..: http://www.denkfabrik-group.com
email : wilfried.heinrich@denkfabrik-group.com

Zeige Buttons
Verstecke Buttons