Informationssicherheitsmanagement

Mit Information Security sowie Datenschutz positive Synergieeffekte erzielen!

Die digitale Transformation ist in vollem Gange.

Doch, die zahlreichen Vorzüge einer fortschreitend digitalisierten, online verbundenen und mobilen Geschäftswelt haben auch andere Konsequenzen: Cyberattacken, Datenklau wie auch Verschlüsselungstrojaner nehmen fortwährend zu und stellen insofern eine ernstzunehmende Gefährdung für die Information Security und den Datenschutz von Unternehmungen dar.
Deshalb sollte die Implementation eines gut strukturierten Information Security Management Systems in den Fokus rücken.
Denn als elementarer Teil einer vollständigen Sicherheitskonzeption definiert ein Informationssicherheitsmanagementsystem Standards, Prozeduren und Reaktionen, mit denen Unternehmen sowohl die Informationssicherheit als auch den Datenschutz strukturieren, dirigieren, garantieren sowie optimieren können.

Die Geschäftswelt befindet sich im Wandel – und wird in steigendem Maße von digitalen Geschäftsvorgängen, plattformabhängigen Geschäftsmodellen, „intelligenten“ Geräten und Betriebsanlagen wie vernetzten IT-Umgebungen und Applikationen beeinflusst.

Allerdings birgt die vermehrt digital transformierte, global vernetzte und flexiblere Geschäftswelt massive Gefährdungen: Seit Längerem steigt die Menge zielgerichteter Internetangriffe auf Unternehmen fast jeder Größe und aus allen Wirtschaftszweigen.

Allein im Jahr 2020 wurden zufolge dem Bundeslagebild Cybercrime 2020 des BKA 108.000 Delikte im virtuellen Raum registriert, wobei von einer großen Dunkelzahl durch nicht erkannte wie auch nicht gemeldete Attacken auszugehen ist. Sehr oft wurden nach dem Bundeskriminalamt Kryptotrojaner- und DDoS-Angriffe sowie die Entwendung digitaler Identitäten erfasst.

In Anbetracht der wachsenden Internetkriminalität sollte die Implementation eines gut funktionierenden Informationssicherheitsmanagementsystem, kurz ISMS, in den Fokus rücken.

Denn als wichtiger Teil einer ganzheitlichen Sicherheitsstrategie zielt ein Informationssicherheitsmanagementsystem darauf ab, die IT-Gefahren der aktuellen Zeit mit effektiven Regeln, Prozeduren, Prozessen ebenso wie Tools beherrschbar zu machen und somit die Informationssicherheit und den Datenschutz stets zu garantieren.

Ohne Informationen ist alles nichts!

Informationen bilden seit jeher den Grundstein für den unternehmerischen wie auch persönlichen Gewinn. Ob technologisches Fachwissen, Informationen über die Zielgruppe oder Konstruktions- und Herstellungsverfahren – ohne spezifische Informationen kann ein Unternehmen weder eine sachlich abgewogene Entscheidung treffen noch Vorteile ggü. dem Mitbewerb sichern. Demzufolge stellen Sachinformationen hochklassige Vermögenswerte dar, welche mit adäquaten IT-Sicherheitsmaßnahmen gesichert werden müssen.

Während der Datenschutz im Sinne der EU Datenschutzgrundverordnung den Schutz personenbezogener Daten sowie besonders den Schutz der informationellen Selbstbestimmung zum Gegenstand hat, geht es in der Informationssicherheit um die Erhaltung des Schutzes von Informationen, Daten und Systemen.
Dementsprechend beschäftigt sich die Informationssicherheit mit allen technologischen und unternehmensprozessualen Vorgehensweisen zur Gewährleistung von Vertraulichkeit, Nutzbarkeit, Integrität und mitunter von Echtheit und Verbindlichkeit sämtlicher schutzwürdigen Informationen in einem Geschäft. In diesem Zusammenhang ist es nebensächlich, ob sich diese Informationen digital auf einem Server, analog auf einem Zettel oder in einem „menschlichen Gehirn“ befinden. Zur Informationssicherheit zählt folglich darüber hinaus die Datensicherheit: Also der Schutz von jeglichen Daten, auch denen, welche keinerlei Bezug zu personenbezogenen Daten im Sinne der EU Datenschutzgrundverordnung haben.
Hierzulande orientiert sich die Informationssicherheit meistens nach dem IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik, kurz BSI. In Kombination mit den internat. Zertifizierungsrichtlinien der DIN EN ISO/IEC 27001 bietet er Unternehmungen einen strukturierten und planmäßigen Ansatz für die Einführung und die Inbetriebnahme eines Informationssicherheitsmanagementsystems.

Schutz durch klar definierte Prozesse!
Ein Information Security Management System ist einfach gesagt ein System zum Management für die Informationssicherheit. Vermittels der Umsetzung eines Informationssicherheitsmanagementsystems auf Basis des IT-Grundschutzes oder den internationalen Zertifizierungsrichtlinien der DIN EN ISO/IEC 27001 oder ISIS12 werden Planungs-, Lenkungs- und Kontrollmethoden festgelegt, um die Informationssicherheit in einem Unternehmen permanent zu gewährleisten.
Das hauptsächliche Ziel eines Informationssicherheitsmanagementsystems ist es, mögliche Gefahren bezüglich der Informationssicherheit zu finden, analysieren und zu vermeiden sowie damit für ein adäquates Schutzniveau von Informationen innerhalb eines Geschäftsbetriebes zu sorgen. Das Informationssicherheitsmanagementsystem bildet also die Voraussetzung für eine strukturierte Umsetzung von Informationssicherheit innerhalb eines Betriebes.
Aus der Blickrichtung des Datenschutzes ist es zentral, dass ein Informationssicherheitsmanagementsystem alle schutzwürdigen Informationen in einem Unternehmen schützt, ganz unabhängig, ob es sich um personenbezogene Daten handelt oder nicht.

Zusätzlich zu Ransomware-Angriffen wurden im Rahmen der Bitkom-Studie andere Bedrohungsarten erkannt, deren Abwehr G

In wenigen Schritten zu höherer Informationssicherheit!
Die effiziente und effektive Verwirklichung eines solchen Managementsystems ist ein sehr anspruchsvoller Prozess. Grundlegend wird die Implementierung in unterschiedliche Schritte untergliedert. Die nachfolgenden Prozessschritte sollten dabei eingeplant werden:

1. Prozessschritt: Zieldefinition und Leistungsumfang festlegen
   Im 1. Prozessschritt sollten die Ziele des Systems determiniert werden. Dabei müssen sowohl die Bereiche der Anwendungen als auch Begrenzungen des Sicherheitsmanagementsystems klar bestimmt werden. Gleichzeitig sollte klar bezeichnet werden, was das Informationssicherheitsmanagementsystem bewirken soll beziehungsweise welche Werte und Informationen des Betriebes abgesichert werden sollen.
2. Prozessschritt: Bedrohungen identifizieren sowie einschätzen
   Im 2ten Prozessschritt sollte eine umfangreiche Prüfung der Einsatzbereiche gemacht werden. Hierbei sollte der gegenwärtige Stand der Information Security bestimmt werden, um eventuelle Risiken zu identifizieren und zu kategorisieren. Für die Beurteilung der Bedrohungen können verschiedene Techniken herangezogen werden. Die bedeutendsten Kriterien sind eine präzise Gesamtschau, welche Effekte und Folgen die jeweiligen Gefahren haben können und eine Einstufung ihrer Wahrscheinlichkeit.
3. Prozessschritt: Selektion und Verwirklichung der Maßnahmen
   Im 3ten Schritt werden auf Grundlage der Risikoeinschätzung Strategien ausgearbeitet, die die Reduzierung von Risiken zum Gegenstand haben und so die angemessene Reaktion auf Sicherheitsvorfälle ermöglichen. Diese sind dann gültig für alle Ebenen und Bereiche des Geschäftsbetriebes und schließen nicht nur digitale und virtuelle, sondern auch physische Angelegenheiten mit ein.
4. Prozessschritt: Wirksamkeit beurteilen und Verbesserungen vornehmen
   Im 4ten Prozessschritt sollten die beschlossenen und implementierten Maßnahmen in einem kontinuierlichen Ablauf kontrolliert, überprüft wie auch verbessert werden. Werden hierbei Variationen des Soll Zustandes oder zusätzliche Gefahren entdeckt, so wird der vollständige Informationssicherheitsmanagementsystem-Prozess von Neuem durchlaufen.

informationssicherheitsmanagementsysteme als Gewährleistung für höchste Informationssicherheit!

Der illegale Handel mit Informationen floriert. Kein Betrieb kann es sich momentan daher noch leisten, den Schutz von Informationen und Daten zu vernachlässigen. Durch die Nutzung eines Informationssicherheitssystems können Geschäftsbetriebe mit wirkungsvollen Regularien, Maßnahmen, Prozessen und Werkzeugen jegliche IT-Bedrohungen mit Blick auf ihre Informationssicherheit und den Datenschutz reduzieren und geeignet auf Bedrohungssituationen reagieren.
Darüber hinaus fordert die europaweite Datenschutzgrundverordnung in Artikel 32 der EU-DSGVO Firmen dazu auf, ein dem Risiko gemäßes Sicherheitsniveau für persönliche Daten zu etablieren. Ansonsten können hohe Strafen ausgesprochen werden.
Jedoch muss man berücksichtigen, dass ein Information Security Management System kein ganzes Datenschutzmanagementsystem ersetzen, sondern nur um technische wie organisatorische Instrumente gem. datenschutzrechtlichen Bedingungen ergänzen kann.
Demnach empfiehlt sich eine enge Zusammenarbeit zwischen dem Informationssicherheitsbeauftragten und dem Datenschutzbeauftragten, um eine hohe Informationssicherheit und einen hohen Datenschutz gewähren zu können.

Möchten auch Sie ein Informationssicherheitsmanagementsystem implementieren? Oder haben Sie noch Fragen und Anregungen zu den Themen Informationssicherheit und Datenschutz? Sehr gerne unterstützen wir Sie mit unserem Knowhow bei der Implementation und dem Betrieb eines Informationssicherheitsmanagementsystem nach DIN EN ISO/IEC 27001, BSI IT-Grundschutz oder ISIS12.

Wir sind für Sie da: sales@itmedata.de