Information Security Management System: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen Versionsunterschied
VisuellWikitext
 
(51 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
Ein '''Information Security Management System''' (ISMS) ist ein [[Managementsystem]] für [[Informationssicherheit]]
'''Information Security Management System''' (ISMS) - [[Managementsystem]] für [[Informationssicherheit]]


== Beschreibung ==
== Beschreibung ==
; Jede Institution benutzt heute Sicherheitstechnik, um sich vor Gefahren aus dem Internet abzusichern
; Begriff
* Dazu gehören fast immer Virenschutzprogramme und Spamfilter, oft aber auch komplexere Lösungen wie gestaffelte Firewalls und Software zur Angriffserkennung.
''IT-Sicherheitsmanagement'' stammt aus dem Bereich der [[Informationstechnik]]
* Darüber hinaus ergreifen Behörden und Unternehmen organisatorische Maßnahmen, etwa indem sie Richtlinien für die Benutzung mobiler Systeme erlassen oder die ihre Mitarbeiter über Gefahren im Internet informieren.
* Beschreibt einen fortlaufenden Prozess innerhalb einer Unternehmung oder Organisation zur Gewährleistung der [[IT-Sicherheit]]
* Sowohl die Anwendung von Technik als auch die Einführung organisatorischer Maßnahmen erfolgt oft jedoch ohne Konzept und Erfolgskontrolle.


Für eine angemessene Informationssicherheit ist die isolierte Umsetzung einzelner technischer oder organisatorischer Maßnahmen erfahrungsgemäß allerdings weder effektiv noch effizient.
; Aufgaben des IT-Sicherheitsmanagements
* Vielmehr ist ein Rahmen erforderlich, der dafür sorgt, dass alle Maßnahmen zielgerichtet gesteuert und überwacht werden.
Die Aufgabe des IT-Sicherheitsmanagements ist die systematische Absicherung eines informationsverarbeitenden IT-Verbundes
* Gefahren für die [[Informationssicherheit]] oder Bedrohungen des [[Datenschutz]]es eines Unternehmens oder einer Organisation sollen verhindert oder abgewehrt werden
* Die Auswahl und Umsetzung von ''IT-Sicherheitsmaßnahmen'' für die jeweiligen Geschäftsprozesse eines Unternehmens zählt zu den Tätigkeiten des IT-Sicherheitsmanagements
* Eine normierte Vorgehensweise wird durch das Verwenden von ''IT-Standards'' ermöglicht


Ein solches '''Managementsystem für Informationssicherheit (ISMS) '''besteht aus folgenden Komponenten:
; Begriffsherkunft
Der Begriff des ''IT-Sicherheitsmanagements'' taucht erstmals mit der Veröffentlichung der ''Green Books'' im Jahre 1989 auf
* Aus einem Teil der Green Books entwickelte sich die [[BS 7799#Entstehungsgeschichte|BS-7799]]-Norm für Informationssicherheit
* Gleichwohl wurden bereits von amerikanischen Behörden in den 1970er-Jahren Methoden für ein strukturiertes Vorgehen zur Absicherung gegen Bedrohungen der Informationssicherheit verwendet
* In den 1980er-Jahren folgten im englischsprachigen Bereich einige Studien und Aufsätze zum Thema ''computer abuse and security'' und wie eine effektive Informationssicherheit durch organisatorische Maßnahmen in einem Unternehmen erreicht werden konnte
 
=== Sicherheitstechnik ===
; Institutionen nutzt Sicherheitstechnik
Beispielsweise um sich vor Gefahren aus dem Internet abzusichern
* Virenschutzprogramme
* Spamfilter
* gestaffelte Firewalls
* Software zur Angriffserkennung
 
=== Sicherheitsorganisation ===
; Organisatorische Maßnahme
Richtlinien
* Benutzung mobiler Systeme erlassen oder die ihre Mitarbeiter über Gefahren im Internet informieren
 
; Fehlende Konzeption
* Sowohl die Anwendung von Technik als auch die Einführung organisatorischer Maßnahmen erfolgt oft jedoch ohne Konzept und Erfolgskontrolle
 
; Isolierte Maßnahmen
Für eine angemessene Informationssicherheit ist die isolierte Umsetzung einzelner technischer oder organisatorischer Maßnahmen erfahrungsgemäß, allerdings weder effektiv noch effizient
* Vielmehr ist ein Rahmen erforderlich, der dafür sorgt, dass alle Maßnahmen zielgerichtet gesteuert und überwacht werden
 
; Ein solches '''Managementsystem für Informationssicherheit (ISMS) '''besteht aus folgenden Komponenten:
* '''Managementprinzipien''',etwa der Vorgabe von Zielen in der Organisation, der Erstellung von Kommunikationsgrundsätzen oder Regelungen für Kosten-Nutzen-Analysen,
* '''Managementprinzipien''',etwa der Vorgabe von Zielen in der Organisation, der Erstellung von Kommunikationsgrundsätzen oder Regelungen für Kosten-Nutzen-Analysen,
* '''Ressourcen und Mitarbeitern''',dies umfasst die Steuerung des Einsatzes von Technik und Personal sowie
* '''Ressourcen und Mitarbeitern''',dies umfasst die Steuerung des Einsatzes von Technik und Personal sowie
* der Beschreibung eines '''Sicherheitsprozesses'''.
* der Beschreibung eines '''Sicherheitsprozesses'''


; Worauf sollten Sie beim Aufbau und Betrieb eines ISMS achten?
; Worauf sollten Sie beim Aufbau und Betrieb eines ISMS achten?
Antworten hierzu finden Sie im [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/BSI_Standards/standard_200_1.html -Standard 200-1: Managementsysteme für Informationssicherheit ()].
Antworten hierzu finden Sie im [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/BSI_Standards/standard_200_1.html -Standard 200-1: Managementsysteme für Informationssicherheit ()]
* Die dort genannten Empfehlungen werden im [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/BSI_Standards/standard_200_2.html -Standard 200-2: -Grundschutz-Methodik] konkretisiert.
* Die dort genannten Empfehlungen werden im [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/BSI_Standards/standard_200_2.html -Standard 200-2: -Grundschutz-Methodik] konkretisiert
* In den Kapiteln 3 und 4 erfahren Sie dort beispielsweise, worauf bei der Initiierung und Organisation des Sicherheitsprozesses zu achten ist.
* In den Kapiteln 3 und 4 erfahren Sie dort beispielsweise, worauf bei der Initiierung und Organisation des Sicherheitsprozesses zu achten ist


; Aspekte des Managements von Informationssicherheit gemäß -Grundschutz
; Aspekte des Managements von Informationssicherheit gemäß IT-Grundschutz
{| class="wikitable options"
{| class="wikitable options"
|-
|-
Zeile 34: Zeile 62:
|-
|-
| [[Grundschutz/Sicherheitskonzept|Sicherheitskonzept]] ||
| [[Grundschutz/Sicherheitskonzept|Sicherheitskonzept]] ||
|-  
|-
| [[Grundschutz/Dokumentation|Dokumentation]] ||
| [[Grundschutz/Dokumentation|Dokumentation]] ||
|}
|}
== Aufgabe des IT-Sicherheitsmanagements ==
* Systematische Absicherung eines informationsverarbeitenden IT-Verbundes
* Gefahren für die Informationssicherheit oder Bedrohungen des Datenschutzes eines Unternehmens oder einer Organisation sollen verhindert oder abgewehrt werden.
* Die Auswahl und Umsetzung von ''IT-Sicherheitsstandards'' zählt zu den Aufgaben des IT-Sicherheitsmanagements.


; Standards des IT-Sicherheitsmanagements
== Aufgabe ==
* [[IT-Grundschutz]] des [[BSI]]
; Systematische Absicherung eines [[IT-Verbunde]]s
** Die [[IT-Grundschutz-Kataloge]] definieren für die verschiedenen Aspekte einer IT-Landschaft konkrete Maßnahmen, die zur Erhaltung der Sicherheit bei niedrigem und mittlerem Schutzbedarf erfüllt werden müssen [[Waschzettel#Werbung und Public Relations|(Waschzettel)]].
* Gefahren für die Informationssicherheit oder Bedrohungen des Datenschutzes eines Unternehmens oder einer Organisation sollen verhindert oder abgewehrt werden
**  Für Systeme mit hohem Schutzbedarf geben die Grundschutzkataloge ein strukturiertes Vorgehen, um die notwendigen Maßnahmen zu identifizieren.
* Die Auswahl und Umsetzung von ''IT-Sicherheitsstandards'' zählt zu den Aufgaben des IT-Sicherheitsmanagements
** Die Grundschutz-Kataloge sind primär in Deutschland bekannt, liegen allerdings auch englischsprachig vor.
 
* [[ISO/IEC 27001]]: Norm für Informationssicherheitsmanagementsysteme (ISMS)
== Standards ==
** [[ISO/IEC 27002]]: Leitfaden für das Informationssicherheitsmanagement (vormals ISO/IEC17799:2005)
; [[IT-Grundschutz]] des [[BSI]]
* Die [[IT-Grundschutz-Kataloge]] definieren für die verschiedenen Aspekte einer IT-Landschaft konkrete Maßnahmen, die zur Erhaltung der Sicherheit bei niedrigem und mittlerem Schutzbedarf erfüllt werden müssen
* Für Systeme mit hohem Schutzbedarf geben die Grundschutzkataloge ein strukturiertes Vorgehen, um die notwendigen Maßnahmen zu identifizieren
* Die Grundschutz-Kataloge sind primär in Deutschland bekannt, liegen allerdings auch englischsprachig vor
 
; [[ISO/IEC 27001]]
: Norm für Informationssicherheitsmanagementsysteme (ISMS)
; [[ISO/IEC 27002]]
: Leitfaden für das Informationssicherheitsmanagement
 
Weltweit am stärksten verbreitet ist die ISO/IEC 27001-Norm
 
=== Standards ===
; Folgende Standards werden dem IT-Sicherheitsmanagement zugerechnet
* [[IT-Grundschutz]] des [[Bundesamt für Sicherheit in der Informationstechnik|Bundesamtes für Sicherheit in der Informationstechnik]] (BSI)
** Die [[IT-Grundschutz-Kataloge]] definieren für die verschiedenen Aspekte einer IT-Landschaft konkrete Maßnahmen, die zur Erhaltung der Sicherheit bei niedrigem und mittlerem Schutzbedarf erfüllt werden müssen ([[Waschzettel#Öffentlichkeitsarbeit, Public Relations, Marketing|Waschzettel]])
* Für Systeme mit hohem Schutzbedarf geben die Grundschutzkataloge ein strukturiertes Vorgehen, um die notwendigen Maßnahmen zu identifizieren
* Die Grundschutz-Kataloge sind primär in Deutschland bekannt, liegen allerdings auch englischsprachig vor
* [[ISO/IEC 27001]]: Norm für Informationsicherheitsmanagementsysteme (ISMS)
* [[ISO/IEC 27002]]: Leitfaden für das Informationssicherheitsmanagement (vormals ISO/IEC17799:2005)
* [[BS 7799]]-1 und BS 7799-2: Vorgänger der ISO/IEC 27002 und ISO/IEC 27001
 
; Weltweit am stärksten verbreitet ist die ISO/IEC-27001-Norm


; Weltweit am stärksten verbreitet ist die ISO/IEC 27001-Norm
; Weitere Standards mit IT-Sicherheitsaspekten
: Weitere Standards sind zu finden im {{Hauptartikel|IT-Sicherheitsmanagement}}
* [[ITIL]]: Best-Practices-Sammlung für das IT-Servicemanagement
* [[ISO/IEC 20000]]: die ISO/IEC-Norm für IT-Servicemanagement
* [[BS 15000]]: Britischer Standard für IT-Servicemanagement
* [[COBIT]]: IT-Governance-Framework
* [[ISO/IEC 13335]]: ehemalige Normenreihe zum Sicherheitsmanagement in der Informations- und Kommunikationstechnik
* [[EN ISO 27799]]: Medizinische Informatik – Sicherheitsmanagement im Gesundheitswesen bei Verwendung der ISO/IEC 27002 (speziell für den Gesundheitsbereich)
* [[VdS 10005]]: Richtlinie für IT-Sicherheit im kleinen Mittelstand


; Verfahren und Regeln innerhalb einer Organisation zur Informationssicherheit
* [[Payment Card Industry Data Security Standard]] (PCI-DSS): Regelwerk für die Abwicklung von Kreditkartentransaktionen
* die Benchmarks des [[Center for Internet Security]]
* diverse [[Federal Information Processing Standard]]s (FIPS) und weitere des US [[National Institute of Standards and Technology]] (NIST)


== Verfahren und Regeln innerhalb einer Organisation ==
; [[Informationssicherheit]]
; [[Informationssicherheit]]
* definieren
* definieren
Zeile 69: Zeile 124:


=== Informationssicherheit und Datenschutz ===
=== Informationssicherheit und Datenschutz ===
; Informationssicherheitsbeauftragte (ISB) und Datenschutzbeauftragter (DSB) haben überschneidende Zuständigkeiten
; Überschneidende Zuständigkeiten
* Sollten personell getrennt wahrgenommen werden.
; Informationssicherheitsbeauftragte (ISB) und Datenschutzbeauftragter (DSB)
* Sollten personell getrennt wahrgenommen werden


; ISO/IEC 27701
; ISO/IEC 27701
Mit der ISO/IEC 27701 wird das klassische Informationssicherheitsmanagementsystem um Datenschutzaspekte erweitert
Mit der ISO/IEC 27701 wird das klassische Informationssicherheitsmanagementsystem um Datenschutzaspekte erweitert
* sodass beide Beauftragte über das gleiche Dokumentenwerk gegenseitig zuarbeiten können.
* Sodass beide Beauftragte über das gleiche Dokumentenwerk gegenseitig zuarbeiten können


=== Allgemeine Ansätze ===
=== Allgemeine Ansätze ===
{| class="wikitable sortable options"
{| class="wikitable options"
|-
|-
! Ansatz !! Beschreibung
! Ansatz !! Beschreibung
|-
|-
| Verankerung in der Organisation || Die Verantwortlichkeiten und Befugnisse für den Informationssicherheitsprozess werden vom obersten Management eindeutig und widerspruchsfrei zugewiesen.
| Verankerung in der Organisation || Die Verantwortlichkeiten und Befugnisse für den Informationssicherheitsprozess werden vom obersten Management eindeutig und widerspruchsfrei zugewiesen
* Insbesondere wird ein Mitarbeiter bestimmt, der umfassend verantwortlich für das Informationssicherheitsmanagementsystem ist (in der Regel Informationssicherheitsbeauftragter oder kurz ISB genannt). Alternativ kann sich die Organisation auch eines externen Dienstleisters bedienen, der den ISB stellt.
* Insbesondere wird ein Mitarbeiter bestimmt, der umfassend verantwortlich für das Informationssicherheitsmanagementsystem ist (in der Regel Informationssicherheitsbeauftragter oder kurz ISB genannt)
* Alternativ kann sich die Organisation auch eines externen Dienstleisters bedienen, der den ISB stellt
|-
|-
| Verbindliche Ziele || Die durch den Informationssicherheitsprozess zu erreichenden Ziele werden durch das Topmanagement vorgegeben.
| Verbindliche Ziele || Die durch den Informationssicherheitsprozess zu erreichenden Ziele werden durch das Topmanagement vorgegeben.
|-
|-
| Richtlinien || Verabschiedung von Sicherheitsrichtlinien ([[Sicherheitsrichtlinie|Security Policy]]), die den sicheren Umgang mit der IT-Infrastruktur und den Informationen definieren durch das oberste Management.
| Richtlinien || Verabschiedung von Sicherheitsrichtlinien ([[Sicherheitsrichtlinie|Security Policy]]), die den sicheren Umgang mit der IT-Infrastruktur und den Informationen definieren durch das oberste Management
|-
|-
| Personalmanagement || Bei Einstellung, Einarbeitung sowie Beendigung oder Wechsel der Anstellung von Mitarbeitern werden die Anforderungen der Informationssicherheit berücksichtigt.
| Personalmanagement || Bei Einstellung, Einarbeitung sowie Beendigung oder Wechsel der Anstellung von Mitarbeitern werden die Anforderungen der Informationssicherheit berücksichtigt.
Zeile 94: Zeile 151:
| Qualifikation und Fortbildung || Es wird sichergestellt, dass das Personal seine Verantwortlichkeiten versteht und es für seine Aufgaben geeignet und qualifiziert ist.
| Qualifikation und Fortbildung || Es wird sichergestellt, dass das Personal seine Verantwortlichkeiten versteht und es für seine Aufgaben geeignet und qualifiziert ist.
|-
|-
| Adaptive Sicherheit || Das angestrebte Niveau der Informationssicherheit wird definiert, umgesetzt und fortlaufend an die aktuellen Bedürfnisse sowie die Gefährdungslage angepasst ([[Kontinuierlicher Verbesserungsprozess]]).
| Adaptive Sicherheit || Das angestrebte Niveau der Informationssicherheit wird definiert, umgesetzt und fortlaufend an die aktuellen Bedürfnisse sowie die Gefährdungslage angepasst ([[Kontinuierlicher Verbesserungsprozess]])
|-
|-
| Vorbereitung || Das Unternehmen ist auf Störungen, Ausfälle und Sicherheitsvorfälle in der elektronischen Datenverarbeitung vorbereitet.
| Vorbereitung || Das Unternehmen ist auf Störungen, Ausfälle und Sicherheitsvorfälle in der elektronischen Datenverarbeitung vorbereitet
|}
|}


Zeile 105: Zeile 162:


== Anhang ==
== Anhang ==
=== Siehe auch ===
=== Siehe auch ===
{{Special:PrefixIndex/Managementsystem}}
----
* [[ISMS.1 Sicherheitsmanagement]]
* [[ISMS.1 Sicherheitsmanagement]]
{{Special:PrefixIndex/Managementsystem}}
* [[Information Security Management System]]
 
* [[Security Engineering]]
==== Dokumentation ====


==== Links ====
==== Links ====
===== Projekt =====
===== Weblinks =====
===== Weblinks =====
# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-200-1-Managementsysteme-fuer-Informationssicherheit:bsi-standard-200-1-managementsysteme-fuer-informationssicherheit_node.html BSI-Standard 200-1: Managementsysteme für Informationssicherheit (ISMS)]
# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Grundschutz/BSI-Standards/BSI-Standard-200-1-Managementsysteme-fuer-Informationssicherheit/bsi-standard-200-1-managementsysteme-fuer-informationssicherheit_node.html BSI-Standard 200-1: Managementsysteme für Informationssicherheit (ISMS)]
# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-200-2-IT-Grundschutz-Methodik/bsi-standard-200-2-it-grundschutz-methodik_node.html BSI-Standard 200-2: <abbr>IT</abbr>-Grundschutz-Methodik]
# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Grundschutz/BSI-Standards/BSI-Standard-200-2-IT-Grundschutz-Methodik/bsi-standard-200-2-it-grundschutz-methodik_node.html BSI-Standard 200-2: [[IT]] -Grundschutz-Methodik]
# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-200-3-Risikomanagement/bsi-standard-200-3-risikomanagement_node.html BSI-Standard 200-3: Risikoanalyse auf der Basis von IT-Grundschutz]
# [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Grundschutz/BSI-Standards/BSI-Standard-200-3-Risikomanagement/bsi-standard-200-3-risikomanagement_node.html BSI-Standard 200-3: Risikoanalyse auf der Basis von IT-Grundschutz]
# [https://service.vds.de/fileadmin/vds_publikationen/cyber/V10000_low.pdf VdS 10000 - Informationssicherheitsmanagementsystem für kleine und mittlere Unternehmen (KMU)]
# [https://service.vds.de/fileadmin/vds_publikationen/cyber/V10000_low.pdf VdS 10000 - Informationssicherheitsmanagementsystem für kleine und mittlere Unternehmen (KMU)]


[[Kategorie:Informationssicherheit:Management]]
[[Kategorie:ISMS]]
 
== Anhang ==
=== Siehe auch ===
{{Special:PrefixIndex/Sicherheitsmanagement}}
 
==== Dokumentation ====
==== Links ====
===== Einzelnachweise =====
<references />
===== Projekt =====
===== Weblinks =====
 
=== Testfragen ===
<div class="toccolours mw-collapsible mw-collapsed">
Welches Modell liegt dem in -Standard 200-1 beschriebenen Sicherheitsprozess zugrunde?
A ein Zyklus aus den Schritten Plan, Do, Check und Act
B ein Verfahren zur Definition eines State-of-the-Art-Informationssicherheitsniveaus
C ein auf stetige Verbesserung angelegtes Modell
D ein Modell aus technischen Sicherheitsmaßnahmen
<div class="mw-collapsible-content"> '''Die Antworten A und C sind richtig.'''</div>
</div>
 
<div class="toccolours mw-collapsible mw-collapsed">
Was sollte eine Leitlinie zur Informationssicherheit enthalten?
A detaillierte technische Vorgaben für die Konfiguration wichtiger -Systeme
B Aussagen zur Bedeutung der Informationssicherheit für die betroffene Institution
C grundlegende Regelungen zur Organisation der Informationssicherheit
D konkrete Verhaltensregelungen für den Umgang mit vertraulichen Informationen
<div class="mw-collapsible-content">'''Die Antworten B und C sind richtig.'''</div>
</div>
 
<div class="toccolours mw-collapsible mw-collapsed">
Welche Aufgaben haben üblicherweise Informationssicherheitsbeauftragte?
A die Entwicklung von Sicherheitskonzepten zu koordinieren
B die eingesetzte Sicherheitstechnik zu konfigurieren
C der Leitungsebene über den Stand der Informationssicherheit zu berichten
D Presseanfragen zum Stand der Informationssicherheit im Unternehmen zu beantworten
<div class="mw-collapsible-content">'''Die Antworten A und C sind richtig.'''</div>
</div>
 
<div class="toccolours mw-collapsible mw-collapsed">
Wie setzt sich ein -Management-Team geeignet zusammen?
A Aus jeder Abteilung des Unternehmens oder der Behörde werden Mitarbeiter entsandt, damit alle Bereiche gut vertreten sind.
B Nur der -Leiter ordnet einige Mitarbeiter in das Team ab.
C Die Zusammensetzung sollte auf Freiwilligkeit beruhen. Jeder der Interesse hat, wird aufgenommen.
D Die Geschäftsleitung setzt das Team aus Verantwortlichen für bestimmte -Systeme, Anwendungen, Datenschutz und -Service und (sofern vorhanden) dem - zusammen.
<div class="mw-collapsible-content">'''Die Antwort D ist richtig.'''</div>
</div>
 
<div class="toccolours mw-collapsible mw-collapsed">
Wer ist für die Freigabe der Leitlinie zur Informationssicherheit verantwortlich?
A das -Management-Team
B der
C die Unternehmens- oder Behördenleitung
D die Öffentlichkeitsabteilung eines Unternehmens oder einer Behörde
<div class="mw-collapsible-content">'''Die Antwort C ist richtig.'''</div>
</div>
 
<div class="toccolours mw-collapsible mw-collapsed">
Warum kann es sinnvoll sein, sich für eine Sicherheitskonzeption gemäß der Basis-Absicherung zu entscheiden?
A Die Erfüllung der zugehörigen Anforderungen reicht in der Regel für ein normales Unternehmen völlig aus.
B Weil schnell Informationssicherheit umgesetzt werden muss und die Basis-Absicherung hierfür einen geeigneten Einstieg bietet.
C Weil Informationssicherheit Schritt für Schritt umgesetzt werden soll. Mittelfristig kann das Sicherheitskonzept nach Standard-Absicherung ausgebaut werden.
D Weil die hochwertigen Informationen dringend geschützt werden müssen. Die Basis-Absicherung sorgt für den angemessenen Schutz der „Kronjuwelen“ einer Institution.
<div class="mw-collapsible-content">'''Die Antworten B und C sind richtig.'''</div>
</div>
 
[[Kategorie:Grundschutz/Management]]
</noinclude>
 
 
</noinclude>
</noinclude>

Aktuelle Version vom 18. September 2024, 13:00 Uhr

Information Security Management System (ISMS) - Managementsystem für Informationssicherheit

Beschreibung

Begriff

IT-Sicherheitsmanagement stammt aus dem Bereich der Informationstechnik

  • Beschreibt einen fortlaufenden Prozess innerhalb einer Unternehmung oder Organisation zur Gewährleistung der IT-Sicherheit
Aufgaben des IT-Sicherheitsmanagements

Die Aufgabe des IT-Sicherheitsmanagements ist die systematische Absicherung eines informationsverarbeitenden IT-Verbundes

  • Gefahren für die Informationssicherheit oder Bedrohungen des Datenschutzes eines Unternehmens oder einer Organisation sollen verhindert oder abgewehrt werden
  • Die Auswahl und Umsetzung von IT-Sicherheitsmaßnahmen für die jeweiligen Geschäftsprozesse eines Unternehmens zählt zu den Tätigkeiten des IT-Sicherheitsmanagements
  • Eine normierte Vorgehensweise wird durch das Verwenden von IT-Standards ermöglicht
Begriffsherkunft

Der Begriff des IT-Sicherheitsmanagements taucht erstmals mit der Veröffentlichung der Green Books im Jahre 1989 auf

  • Aus einem Teil der Green Books entwickelte sich die BS-7799-Norm für Informationssicherheit
  • Gleichwohl wurden bereits von amerikanischen Behörden in den 1970er-Jahren Methoden für ein strukturiertes Vorgehen zur Absicherung gegen Bedrohungen der Informationssicherheit verwendet
  • In den 1980er-Jahren folgten im englischsprachigen Bereich einige Studien und Aufsätze zum Thema computer abuse and security und wie eine effektive Informationssicherheit durch organisatorische Maßnahmen in einem Unternehmen erreicht werden konnte

Sicherheitstechnik

Institutionen nutzt Sicherheitstechnik

Beispielsweise um sich vor Gefahren aus dem Internet abzusichern

  • Virenschutzprogramme
  • Spamfilter
  • gestaffelte Firewalls
  • Software zur Angriffserkennung

Sicherheitsorganisation

Organisatorische Maßnahme

Richtlinien

  • Benutzung mobiler Systeme erlassen oder die ihre Mitarbeiter über Gefahren im Internet informieren
Fehlende Konzeption
  • Sowohl die Anwendung von Technik als auch die Einführung organisatorischer Maßnahmen erfolgt oft jedoch ohne Konzept und Erfolgskontrolle
Isolierte Maßnahmen

Für eine angemessene Informationssicherheit ist die isolierte Umsetzung einzelner technischer oder organisatorischer Maßnahmen erfahrungsgemäß, allerdings weder effektiv noch effizient

  • Vielmehr ist ein Rahmen erforderlich, der dafür sorgt, dass alle Maßnahmen zielgerichtet gesteuert und überwacht werden
Ein solches Managementsystem für Informationssicherheit (ISMS) besteht aus folgenden Komponenten
  • Managementprinzipien,etwa der Vorgabe von Zielen in der Organisation, der Erstellung von Kommunikationsgrundsätzen oder Regelungen für Kosten-Nutzen-Analysen,
  • Ressourcen und Mitarbeitern,dies umfasst die Steuerung des Einsatzes von Technik und Personal sowie
  • der Beschreibung eines Sicherheitsprozesses
Worauf sollten Sie beim Aufbau und Betrieb eines ISMS achten?

Antworten hierzu finden Sie im -Standard 200-1: Managementsysteme für Informationssicherheit ()

  • Die dort genannten Empfehlungen werden im -Standard 200-2: -Grundschutz-Methodik konkretisiert
  • In den Kapiteln 3 und 4 erfahren Sie dort beispielsweise, worauf bei der Initiierung und Organisation des Sicherheitsprozesses zu achten ist
Aspekte des Managements von Informationssicherheit gemäß IT-Grundschutz
Aspekt Beschreibung
Sicherheitsprozess
Managementprinzipien
Sicherheitsorganisation
Sicherheitsleitlinie
Sicherheitskonzept
Dokumentation

Aufgabe

Systematische Absicherung eines IT-Verbundes
  • Gefahren für die Informationssicherheit oder Bedrohungen des Datenschutzes eines Unternehmens oder einer Organisation sollen verhindert oder abgewehrt werden
  • Die Auswahl und Umsetzung von IT-Sicherheitsstandards zählt zu den Aufgaben des IT-Sicherheitsmanagements

Standards

IT-Grundschutz des BSI
  • Die IT-Grundschutz-Kataloge definieren für die verschiedenen Aspekte einer IT-Landschaft konkrete Maßnahmen, die zur Erhaltung der Sicherheit bei niedrigem und mittlerem Schutzbedarf erfüllt werden müssen
  • Für Systeme mit hohem Schutzbedarf geben die Grundschutzkataloge ein strukturiertes Vorgehen, um die notwendigen Maßnahmen zu identifizieren
  • Die Grundschutz-Kataloge sind primär in Deutschland bekannt, liegen allerdings auch englischsprachig vor
ISO/IEC 27001
Norm für Informationssicherheitsmanagementsysteme (ISMS)
ISO/IEC 27002
Leitfaden für das Informationssicherheitsmanagement

Weltweit am stärksten verbreitet ist die ISO/IEC 27001-Norm

Standards

Folgende Standards werden dem IT-Sicherheitsmanagement zugerechnet
  • IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI)
    • Die IT-Grundschutz-Kataloge definieren für die verschiedenen Aspekte einer IT-Landschaft konkrete Maßnahmen, die zur Erhaltung der Sicherheit bei niedrigem und mittlerem Schutzbedarf erfüllt werden müssen (Waschzettel)
  • Für Systeme mit hohem Schutzbedarf geben die Grundschutzkataloge ein strukturiertes Vorgehen, um die notwendigen Maßnahmen zu identifizieren
  • Die Grundschutz-Kataloge sind primär in Deutschland bekannt, liegen allerdings auch englischsprachig vor
  • ISO/IEC 27001: Norm für Informationsicherheitsmanagementsysteme (ISMS)
  • ISO/IEC 27002: Leitfaden für das Informationssicherheitsmanagement (vormals ISO/IEC17799:2005)
  • BS 7799-1 und BS 7799-2: Vorgänger der ISO/IEC 27002 und ISO/IEC 27001
Weltweit am stärksten verbreitet ist die ISO/IEC-27001-Norm
Weitere Standards mit IT-Sicherheitsaspekten
  • ITIL: Best-Practices-Sammlung für das IT-Servicemanagement
  • ISO/IEC 20000: die ISO/IEC-Norm für IT-Servicemanagement
  • BS 15000: Britischer Standard für IT-Servicemanagement
  • COBIT: IT-Governance-Framework
  • ISO/IEC 13335: ehemalige Normenreihe zum Sicherheitsmanagement in der Informations- und Kommunikationstechnik
  • EN ISO 27799: Medizinische Informatik – Sicherheitsmanagement im Gesundheitswesen bei Verwendung der ISO/IEC 27002 (speziell für den Gesundheitsbereich)
  • VdS 10005: Richtlinie für IT-Sicherheit im kleinen Mittelstand

Verfahren und Regeln innerhalb einer Organisation

Informationssicherheit
  • definieren
  • steuern
  • kontrollieren
  • aufrechterhalten
  • fortlaufend verbessern
Begriff wird im Standard ISO/IEC 27002 definiert
Deutscher Anteil an dieser Normungsarbeit

Informationssicherheit und Datenschutz

Überschneidende Zuständigkeiten
Informationssicherheitsbeauftragte (ISB) und Datenschutzbeauftragter (DSB)
  • Sollten personell getrennt wahrgenommen werden
ISO/IEC 27701

Mit der ISO/IEC 27701 wird das klassische Informationssicherheitsmanagementsystem um Datenschutzaspekte erweitert

  • Sodass beide Beauftragte über das gleiche Dokumentenwerk gegenseitig zuarbeiten können

Allgemeine Ansätze

Ansatz Beschreibung
Verankerung in der Organisation Die Verantwortlichkeiten und Befugnisse für den Informationssicherheitsprozess werden vom obersten Management eindeutig und widerspruchsfrei zugewiesen
  • Insbesondere wird ein Mitarbeiter bestimmt, der umfassend verantwortlich für das Informationssicherheitsmanagementsystem ist (in der Regel Informationssicherheitsbeauftragter oder kurz ISB genannt)
  • Alternativ kann sich die Organisation auch eines externen Dienstleisters bedienen, der den ISB stellt
Verbindliche Ziele Die durch den Informationssicherheitsprozess zu erreichenden Ziele werden durch das Topmanagement vorgegeben.
Richtlinien Verabschiedung von Sicherheitsrichtlinien (Security Policy), die den sicheren Umgang mit der IT-Infrastruktur und den Informationen definieren durch das oberste Management
Personalmanagement Bei Einstellung, Einarbeitung sowie Beendigung oder Wechsel der Anstellung von Mitarbeitern werden die Anforderungen der Informationssicherheit berücksichtigt.
Aktualität des Wissens Es wird sichergestellt, dass das Unternehmen über aktuelles Wissen in Bezug auf Informationssicherheit verfügt.
Qualifikation und Fortbildung Es wird sichergestellt, dass das Personal seine Verantwortlichkeiten versteht und es für seine Aufgaben geeignet und qualifiziert ist.
Adaptive Sicherheit Das angestrebte Niveau der Informationssicherheit wird definiert, umgesetzt und fortlaufend an die aktuellen Bedürfnisse sowie die Gefährdungslage angepasst (Kontinuierlicher Verbesserungsprozess)
Vorbereitung Das Unternehmen ist auf Störungen, Ausfälle und Sicherheitsvorfälle in der elektronischen Datenverarbeitung vorbereitet

Zertifizierung

Grundschutz/Zertifizierung


Anhang

Siehe auch

Links

Weblinks
  1. BSI-Standard 200-1: Managementsysteme für Informationssicherheit (ISMS)
  2. BSI-Standard 200-2: IT -Grundschutz-Methodik
  3. BSI-Standard 200-3: Risikoanalyse auf der Basis von IT-Grundschutz
  4. VdS 10000 - Informationssicherheitsmanagementsystem für kleine und mittlere Unternehmen (KMU)
Abgerufen von „https://wiki.foxtom.de/index.php?title=Information_Security_Management_System&oldid=108596“