IT-Grundschutz/Aufbau des ISMS
Aufbau des ISMS
Die Organisation betreibt ihr Informationssicherheits-Managementsystem (ISMS) gemäß BSI-Standard 200-1.
Kurze Beschreibung der Struktur und Organisation des ISMS (Ziele des ISMS, Organigramm des Sicherheitsmanagements).
Vorgehensweise
Für den vorliegenden Informationsverbund wird die Standardabsicherung (alternativ: Basisabsicherung oder Kernabsicherung) nach BSI-Standard 200-2 angewendet.
Verantwortliche
Organisationsleitung
Die Leitung der Organisation trägt die Gesamtverantwortung für die Informationssicherheit der Organisation und hat klare Ziele für die Informationssicherheit definiert. Diese Leitlinien bilden die Grundlage für alle Maßnahmen im Informationsverbund. Die übergreifenden Aufgaben der Leitung bestehen im Wesentlichen darin:
- Festlegung von messbaren Sicherheitszielen
- Verantwortlichkeiten zu delegieren
- Ressourcen bereitzustellen
- Sicherheitskultur in der Organisation zu fördern
- Bewertung der Risiken für die Organisation
- Compliance und Rechenschaftspflicht erfüllen
- Überwachung und Bewertung der Zielerreichung
Informationssicherheitsbeauftragter
Die Organisation hat einen Informationssicherheitsbeauftragten (ISB) ernannt.
Der Informationssicherheitsbeauftragte ist für den Aufbau und die Koordination des ISMS verantwortlich und untersteht als Stabsstelle direkt der Organisationsleitung.
Seine Aufgaben sind u.a.:
- Berichterstattung und Beratung der Leitung zu Belangen der Informationssicherheit
- Koordination der Schulungen und Sensibilisierung der Mitarbeitenden zur Informationssicherheit
- Entwicklung und Fortschreibung der Sicherheitskonzeption der Organisation
- Begleitung und Auswertung von Sicherheitsvorfällen
- Begleitung der Einführung neuer Verfahren und Anwendungen
Der ISB verfügt über die zur Erfüllung seiner Aufgaben notwendigen Kenntnisse und Ressourcen.
Datenschutzbeauftragter
Die Organisation hat einen Datenschutzbeauftragten (DSB) bestellt. Der DSB ist in die Entwicklung des Informationsverbundes eingebunden und bearbeitet alle Fragen des Datenschutzes in einem eigenen DSMS.
weitere Verantwortliche
Ggf. weitere Verantwortlich und ihre Rollen für die Informationssicherheit im Informationsverbund.
Übergreifendes Regelwerk
Das relevante organisatorische Regelwerk der Organisation ist in Anlage A0 enthalten. Die grundlegensten Richtlinien sind hier kurz zusammengefasst:
Leitlinie zur Informationssicherheit
Die Informationssicherheits-Leitlinie gewährleistet die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen. Sie basiert auf den BSI-Standards 200.x und regelt Verantwortlichkeiten, übergreifende Maßnahmen, den Umgang mit Sicherheitsvorfälle und die Förderung von Sicherheitsbewusstsein. (siehe Anlage A0.1)
Richtlinie zur Risikoanalyse
Die Richtlinie zur Risikoanalyse definiert den Prozess zur Identifizierung, Bewertung und Bewältigung von Risiken in der Organisation. Sie legt die Methoden, Werkzeuge und Verantwortlichkeiten fest, um potenzielle Bedrohungen zu erkennen, ihre Auswirkungen zu bewerten und angemessene Gegenmaßnahmen zu entwickeln. Das Ziel dieser Richtlinie ist es, die Risiken zu minimieren, die Sicherheit zu stärken und die Resilienz der Organisation gegenüber möglichen Gefahren zu verbessern. (siehe Anlage A0.2)
Richtlinie zur Lenkung von Dokumenten und Aufzeichnungen
Die Richtlinie zur Lenkung von Dokumenten regelt die Verfahren und Zuständigkeiten für die Erstellung, Überprüfung, Freigabe und Archivierung von Dokumenten, um die Konsistenz, Aktualität und Compliance der Dokumente und Aufzeichnungen sicherzustellen. (siehe Anlage A0.3)
Richtlinie zur internen ISMS-Auditierung
Die Richtlinie zur internen ISMS-Auditierung legt die Verfahren und Richtlinien fest, um regelmäßige interne Audits des Informationssicherheitsmanagementsystems (ISMS) durchzuführen. Sie beschreibt den Prozess, wie die Überprüfung der ISMS-Konformität, Effektivität und Effizienz erfolgt, um sicherzustellen, dass die Sicherheitsziele erreicht und die Anforderungen erfüllt werden. Das Ziel der internen ISMS-Auditierung ist es, potenzielle Schwachstellen und Verbesserungsmöglichkeiten zu identifizieren, um eine kontinuierliche Weiterentwicklung und Anpassung des ISMS zu gewährleisten und so die Informationssicherheit im Unternehmen zu stärken. (siehe Anlage A0.4)
Richtlinie zur Lenkung von Korrektur- und Vorbeugungsmaßnahmen
Die Richtlinie zur Lenkung von Korrektur- und Vorbeugungsmaßnahmen definiert den Prozess zur systematischen Identifizierung, Bewertung und Umsetzung von Maßnahmen, um erkannte Probleme zu korrigieren und zukünftige Vorfälle zu verhindern. Sie legt fest, wie Abweichungen, Sicherheitsvorfälle oder Verbesserungspotenziale erfasst, analysiert und behoben werden. Das Ziel dieser Richtlinie ist es, die Effizienz und Qualität im Unternehmen zu steigern, Risiken zu minimieren und die kontinuierliche Verbesserung im Hinblick auf Sicherheit und Prozesse zu fördern. (siehe Anlage A0.5)
