IT-Grundschutz/Verbesserungsprozess

topic - Kurzbeschreibung

Beschreibung

Vorarbeiten

Realisierungsplan enthält Maßnahmen des Sicherheitskonzepts

• Bis wann werden Maßnahmen von wem wie umgesetzt
• Erforderliche Ressourcen
• Zwischentermine
• Begleitende Maßnahmen

Regelmäßige Kontrollen

• Sicherstellen, dass alles wie geplant umgesetzt ist und funktioniert

Stetiger Prozess

Informationssicherheit ist kein einmalig herzustellender und anschließend stabiler Zustand, sondern ein stetiger Prozess, der immer wieder an sich wandelnde und neue Herausforderungen angepasst werden muss.

Angemessenheit und Wirksamkeit der technischen und organisatorischen Maßnahmen für Informationssicherheit in Ihrer Institution kontinuierlich überwachen und verbessern

• Umsetzungsstand der im Sicherheitskonzept vorgesehenen Maßnahmen prüfen
• Vorgehen bei der Überprüfung der Wirksamkeit von Maßnahmen
• Erkenntnisse der Prüfungen in Maßnahmen zur Verbesserung Ihres Informationssicherheitsmanagements überführen
• Kennzahlen können bei der Bewertung einzelner Aspekte der Informationssicherheit helfen
• Reifegradmodell nutzen
• Sicherheitsniveau nachweisen (27001-Zertifikat auf Basis von IT-Grundschutz)

Leitfragen

Leitfragen für die Überprüfung

Um sicherzustellen, dass die Maßnahmen des Sicherheitskonzepts immer den Anforderungen entsprechen, müssen sie kontinuierlich überprüft werden.

Überprüfungen sollten sich an folgenden Leitfragen orientieren

Welche Ziele der Informationssicherheit sind aktuell vordringlich?

• Die Bedeutung von Sicherheitszielen kann sich im Zeitablauf verändern.
• So kann es wichtiger werden, die Vertraulichkeit von Informationen zu schützen, wenn sich gesetzliche Rahmenbedingungen ändern oder aber die Institution mit Daten arbeitet, die dies verstärkt erfordern.
• Alle Maßnahmen zur Erhaltung der Vertraulichkeit müssen daher besonders sorgfältig geprüft werden.
• Eine weitere wichtige Frage ist, ob die gewählten Sicherheitsmaßnahmen noch der Gefährdungslage entsprechen.
• Auch ist zu prüfen, ob neue technische Verfahren einen effizienteren und wirksameren Schutz bieten können.

Wer ist verantwortlich für die Überwachung des Informationssicherheitsprozesses?

• Häufig ist die Institution so komplex, dass der nicht alle Überprüfungen leiten und durchführen kann.
• Dann ist es wichtig, dass für verschiedene Bereiche Personen benannt sind, die diese Maßnahmen konzipieren, umsetzen, Ergebnisse dokumentieren sowie Verbesserungen planen und steuern.
• Bei einer solchen verteilten Verantwortung ist eine gute Zusammenarbeit mit dem wichtig, der über alle Schritte informiert werden muss.

Wie häufig sind die Verfahren zu überprüfen?

• Für weniger wichtige Schutzmechanismen kann eine Überprüfung seltener erfolgen als für kritische Prozesse.
• Mindestens einmal pro Jahr muss das Sicherheitskonzept darauf überprüft werden, ob es noch effektiv ist, also den Zielen der Informationssicherheit im Unternehmen oder der Behörde entspricht.
• Wenn es einen Sicherheitsvorfall gegeben hat, sollte dies Anlass für eine zusätzliche Prüfung sein.

Umsetzungshinweise

ISMS.1.M11: Aufrechterhaltung der Informationssicherheit

• Empfehlungen zur Vorgehensweise bei der Überprüfung des Sicherheitsprozesses

Überprüfungsverfahren

Grundschutz/Verbesserungsprozess/Verfahren

IT-Grundschutz-Zertifizierung

Allgemein anerkannte Zertifikate setzen Maßstäbe und schaffen Vertrauen

• Auch im Bereich der Informationssicherheit sind verlässliche Standards wünschenswert, die den Anwendern Orientierung zur Sicherheit von Produkten, Systemen und Verfahren bieten.
• Daher gibt es bereits seit vielen Jahren international anerkannte Kriterienwerke, auf deren Grundlage die Sicherheitseigenschaften von Produkten und Systemen durch unabhängige Zertifizierungsstellen bestätigt werden können.

Das  27001-Zertifikat auf Basis von -Grundschutz belegt in besonderer Weise das Bemühen um Informationssicherheit, da Grundlage für die Vergabe nicht nur die Erfüllung der allgemeinen Anforderungen der Norm 27001 an das Sicherheitsmanagement ist, sondern auch die nachgewiesene Umsetzung der wesentlich konkreteren Anforderungen des -Grundschutzes.

Die Zertifizierung des Managements für Informationssicherheit kann für unterschiedliche Zielgruppen interessant sein, zum Beispiel für

• Anbieter im E-Commerce oder E-Government, die verdeutlichen wollen, dass sie sorgfältig und sicherheitsbewusst mit den Daten der Kunden und Bürger umgehen,
• IT-Dienstleister, die mit einem allgemein anerkannten Maßstab die Sicherheit ihrer Dienstleistungen belegen wollen,
• Unternehmen und Behörden, die mit anderen Einrichtungen kooperieren wollen und Informationen über deren Sicherheitsniveau wünschen.

Ein Zertifizierungsverfahren wirkt aber auch nach innen: Es trägt dazu bei, das Bewusstsein der Mitarbeiter für die Notwendigkeit von Informationssicherheit zu stärken, und erleichtert dadurch die Umsetzung erforderlicher Sicherheitsmaßnahmen.

Zertifizierungsprozess

Voraussetzung für die Vergabe eines ISO 27001-Zertifikats auf Basis von -Grundschutz ist der Nachweis, dass ein den Anforderungen der Norm entsprechendes Informationssicherheitsmanagement eingerichtet ist und die -Grundschutz-Anforderungen wirksam erfüllt sind.

• Gegenstand der Zertifizierung muss dabei nicht die gesamte Institution sein.
• Der betrachtete Informationsverbund kann sich auch auf einzelne Geschäftsprozesse, Fachaufgaben oder Organisationseinheiten beschränken.
• Diese müssen jedoch sinnvoll abgegrenzt sein und eine gewisse Mindestgröße haben.

Die folgende Abbildung veranschaulicht den Zertifizierungsprozess:

"ISO 27001-Zerifizierung auf Basis von IT-Grundschutz - Zertifizierungsprozess"

Für den Nachweis, dass die Anforderungen erfüllt sind, ist ein Audit durch einen unabhängigen, vom anerkannten Auditor erforderlich.

• Jedes Audit setzt sich grundsätzlich aus zwei getrennten, aufeinander aufbauenden Phasen zusammen:
• Phase 1 umfasst eine Dokumentenprüfung der so genannten Referenzdokumente des Antragstellers.
• Dazu zählen neben den geltenden Sicherheitsrichtlinien (Leitlinie zur Informationssicherheit, Richtlinien zur Risikoanalyse, Richtlinie zur internen -Auditierung) und dem Risikobehandlungsplan insbesondere auch die Ergebnisdokumente der verschiedenen Phasen der Sicherheitskonzeption (Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, -Grundschutz-Check, Risikoanalyse, Realisierungsplanung).
• In Phase 2 folgt die Umsetzungsprüfung durch den Auditor, bei der die Vollständigkeit, Korrektheit, und Wirksamkeit der in den Referenzdokumenten beschriebenen Maßnahmen sowie deren Konformität zu den Anforderungen von 27001 und -Grundschutz im Fokus stehen.

Ein Zertifikat wird nur erteilt, wenn der Auditbericht ein positives Gesamtvotum aufweist und durch die Zertifizierungsstelle akzeptiert wurde.

• Im Rahmen einer Prüfbegleitung wird der Auditbericht gegen die Vorgaben des vom veröffentlichen Zertifizierungsschemas geprüft.

Ein erteiltes Zertifikat ist drei Jahre lang gültig und muss in diesem Zeitraum durch ein jährliches Überwachungsaudit bestätigt werden.

Das der 27001-Zertifizierung auf Basis von -Grundschutz zugrunde liegende Zertifizierungsschema, Hinweise zu den erforderlichen Referenzdokumenten und alle weiteren wichtigen Informationen zum Thema finden Sie in einem eigenen Unterthema gebündelt auf der Website des .

Prüfergebnisse

Behandlung der Prüfergebnisse

Die Ergebnisse aller Überprüfungen müssen dokumentiert und der Leitung mitgeteilt werden.

• Diese benötigt insbesondere Informationen über den Stand der Umsetzung, Erfolge und auch Probleme sowie Risiken aufgrund von Umsetzungsmängeln.
• Bei Abweichungen von der Planung müssen Vorschläge erarbeitet werden, wie diese anzupassen oder die Umsetzung zu korrigieren ist.
• Gleiches gilt für Vorschläge zur Verbesserung und Weiterentwicklung der Sicherheitsmaßnahmen.
• Alle Entscheidungen hierzu, auch die Übernahme von Risiken durch eine verzögerte Umsetzung von Maßnahmen, müssen dokumentiert werden.

Standard-Anforderungen, die Berichte an die Leitungsebene erfüllen SOLLTEN, werden im Baustein ISMS.1 Sicherheitsmanagement des -Grundschutz-Kompendiums unter ISMS.1.A12 Management-Berichte zur Informationssicherheit beschrieben.

Anhang

Siehe auch

• IT-Grundschutz/Verbesserungsprozess

TMP

Überprüfung des Informationssicherheitsprozesses

Überprüfung des Informationssicherheitsprozesses ist unabdingbar

• Fehler und Schwachstellen erkennen und abstellen
• Effizienz des IS-Prozesses optimieren

Verbesserung der Praxistauglichkeit

• Strategie
• Maßnahmen
• Organisatorische Abläufe

Methoden zur Überprüfung des Informationssicherheitsprozesses

Zur Effizienzprüfung und Verbesserung sollten Verfahren und Mechanismen eingerichtet werden

• Realisierung der beschlossenen Maßnahmen prüfen
• deren Wirksamkeit und Effizienz überprüfen

Informationssicherheitsstrategie sollte Leitaussagen zur Messung der Zielerreichung machen

Grundlagen für Messungen

• Detektion, Dokumentation und Auswertung von Sicherheitsvorfällen
• Durchführung von Übungen und Tests zur Simulation von Sicherheitsvorfällen
  • Auswertung der Ergebnisse
• interne und externe Audits, Datenschutzkontrollen
• Zertifizierung nach festgelegten Sicherheitskriterien

Internen Audits zur Erfolgskontrolle der umgesetzten Maßnahmen

• nicht durch denjenigen durchführen, der die Sicherheitskonzeption entwickelt hat
• Externe Experten mit der Durchführung solcher Prüfungsaktivitäten beauftragen

Aufwand von Audits

• hängt von der Komplexität und Größe des Informationsverbunds ab
• Anforderungen auch für kleine Institutionen sehr gut umzusetzen

In kleinen Institutionen eventuell ausreichend

• jährlicher technischer Check von IT-Systemen
• vorhandene Dokumentationen auf Aktualität prüfen
• Probleme und Erfahrungen mit dem Sicherheitskonzept in Workshop besprechen

BSI-Standards

Vorüberlegungen zur Messbarkeit

Vorgehensweisen

Bestimmung des Reifegrads

Vorgehensweisen

Bewertung des Reifegrads

Überprüfung der Umsetzung der Sicherheitsmaßnahmen

Anhand der Aufgabenliste und der zeitlichen Planung im Realisierungsplan

• ob und inwieweit wurden dieser eingehalten

Angemessene Ressourcenplanung

• Voraussetzung für die Einhaltung der geplanten Sicherheitsmaßnahmen
• Wurden ausreichende finanzielle und personelle Ressourcen zur Verfügung gestellt?

Die Überprüfung dient auch

• rechtzeitiger Wahrnehmung von Planungsfehlern
• Anpassung der Sicherheitsstrategie, wenn sich diese als unrealistisch erweist

Nach Einführung neuer Sicherheitsmaßnahmen

• Akzeptanz bei Nutzern prüfen
  • Werden neuen Maßnahmen nicht akzeptiert, ist ein Misserfolg vorprogrammiert
  • Ursachen herauszuarbeiten und abstellen
  • Oft reicht eine zusätzliche Aufklärung der Betroffenen
  • Alternativen sollten geprüft werden

Sicherheitsrevision

Revision der Informationssicherheit anhand der IT-Grundschutz-Sicherheitsmaßnahmen

• Gleiche Vorgehensweise wie beim Basis-Sicherheitscheck

Arbeitsökonomisch

Angepasste Checkliste erstellen

• für jeden Baustein der IT-Grundschutz-Kataloge
• anhand der Maßnahmentexte
• erleichtert die Revision
• verbessert die Reproduzierbarkeit der Ergebnisse

Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz

Zertifizierung ist eine weitere Methode zur Prüfung

• Erreichung der Sicherheitsziele
• die Umsetzung der Sicherheitsmaßnahmen

Hierbei begutachten qualifizierte unabhängige Stellen

• das Management von Informationssicherheit
• die Umsetzung von Informationssicherheit

Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz liefert Auditergebnisse

• nachvollziehbar
• wiederholbar
• vergleichbar

Dokumentation

• ISO 27001 als auch IT-Grundschutz in der erforderlichen Tiefe umgesetzt

Eignung der Informationssicherheitsstrategie

Um den Informationssicherheitsprozess erfolgreich steuern und lenken zu können,

• muss die Leitungsebene einen Überblick darüber haben,
• inwieweit die Sicherheitsziele mithilfe der
• eingesetzten Sicherheitsstrategie tatsächlich erreicht werden konnten.

Aktualität von Sicherheitszielen

Rahmenbedingungen und Sicherheitskonzeption

In längeren Perspektiven prüfen

• gesetzte Sicherheitsziele
• Rahmenbedingungen

Anpassung der Sicherheitsleitlinie und der Sicherheitsstrategie

• in schnelllebigen Branchen von elementarer Bedeutung
• Betriebliche Änderungen schon bei ihrer Planungsphase in die Sicherheitskonzeption einbeziehen
• Einsatz neuer IT-Systeme
• Umzug
• organisatorische Änderungen (z. B. Outsourcing)
• Änderungen gesetzlicher Anforderungen

Nach jeder relevanten Änderung aktualisieren

• Sicherheitskonzeption
• dazugehörigen Dokumentation

Im Änderungsprozess der Institution berücksichtigen

• Informationssicherheitsprozess in das Änderungsmanagement der Institution integrieren

Wirtschaftlichkeitsbetrachtung

Wirtschaftlichkeit sollte unter konstanter Beobachtung bleiben

• Sicherheitsstrategie
• spezifische Sicherheitsmaßnahmen

Kosten für Informationssicherheit sind schwer zu ermitteln

• oft hilfreich, für die weitere Planung: Prüfen, ob
  • tatsächlich angefallene Kosten den geplanten entsprechen
  • ressourcenschonendere Sicherheitsmaßnahmen eingesetzt werden können

Ebenso wichtig

• regelmäßig den Nutzen der vorhandenen Sicherheitsmaßnahmen herausarbeiten

Rückmeldungen von Internen und Externen

Rückmeldungen über Fehler und Schwachstellen in den Prozessen

• Informationssicherheitsorganisation
• Revision

auch von

• Mitarbeitern
• Geschäftspartnern
• Kunden oder Partnern

Wirksame Vorgehensweise festlegen

• Beschwerden und anderen Rückmeldungen von Internen und Externen verwerten

Beschwerden

• von Kunden oder Mitarbeitern können dabei ein Indikator für Unzufriedenheit sein

Bereits entstehender Unzufriedenheit entgegenwirken!

• bei unzufriedenen Mitarbeitern/Kunden
• Gefahr von Handlungen die den Betrieb stören können
  • fahrlässig
  • vorsätzlich

Rückmeldungen von Internen und Externen

Umgang mit Beschwerden

• klar definiertes Verfahren
• eindeutig festgelegte Kompetenzen
• für den Umgang mit Beschwerden und für die Rückmeldung von Problemen an die zuständige Instanz

Beschwerden schnellstmöglich beantworten

• damit die Hinweisgeber sich ernst genommen fühlen

Gemeldeten Probleme bewerten

• Handlungsbedarf eingeschätzten
• angemessene Korrekturmaßnahmen zur Beseitigung der Ursachen von Fehlern ergreifen
• erneutes Auftreten verhindern

Übernahme der Ergebnisse in den Informationssicherheitsprozess

Ergebnisse der Erfolgskontrolle notwendig für Verbesserung des IS-Prozesses

Es kann sich herausstellen, dass

• Sicherheitsziele,
• Sicherheitsstrategie oder
• Sicherheitskonzept

geändert und die Sicherheitsorganisation angepasst werden sollten.

Unter Umständen sinnvoll

• grundlegende Änderungen an der IT-Umgebung
• Geschäftsprozesse verändern
  • z. B. wenn Sicherheitsziele unter den bisherigen Rahmenbedingungen nicht oder
  • nur umständlich (also mit hohem finanziellen oder personellen Aufwand)
• erreicht werden können.

Management-Kreislauf schließt sich

• größere Veränderungen vorgenommen und umfangreiche Verbesserungen
• neue Planungsphase beginnen

Überprüfungen von geeigneten Personen durchführen lassen

• Kompetenz
• Unabhängigkeit

Vollständigkeits- und Plausibilitätskontrollen

• sollten nicht durch die Ersteller der Konzepte durchgeführt werden.

Vorgehensweise zur Überprüfung und Verbesserung

• in Richtlinie dokumentieren
• von der Leitungsebene verabschieden lassen

In der Richtlinie zur Überprüfung und Verbesserung sollte geregelt werden,

• wie interne Audits im Bereich der Informationssicherheit durchzuführen sind und
• wie die Ergebnisse in den Änderungsprozess einfließen.

Prüfergebnisse und -berichte sind

• im Allgemeinen als hochvertraulich zu betrachten und
• müssen besonders gut geschützt werden.

Überprüfung des Informationssicherheitsprozesses - Aktionspunkte

1. Vorgehensweise in einer Richtlinie dokumentieren und der Leitungsebene zur Verabschiedung vorlegen
2. Messung der Zielerreichung in die Sicherheitsstrategie integrieren
3. Einhaltung des Realisierungsplans prüfen
4. Realisierung der beschlossenen Maßnahmen überprüfen
5. Wirksamkeit und Effizienz der beschlossenen Maßnahmen überprüfen
6. Prüfen, ob die Sicherheitsmaßnahmen akzeptiert werden und gegebenenfalls nachbessern
7. Rollenkonflikt zwischen Ersteller und Prüfer beachten
8. Vertraulichkeit der Untersuchungsergebnisse sicherstellen
9. Eignung und Aktualität von Sicherheitszielen, -strategien und -konzeption prüfen
10. Angemessenheit der bereitgestellten Ressourcen und die Wirtschaftlichkeit der Sicherheitsstrategie und -maßnahmen überprüfen
11. Ergebnisse der Überprüfungen in Form von Verbesserungen in den Informationssicherheitsprozess einfließen lassen

Informationsfluss

Informationsfluss im Informationssicherheitsprozess

Im Rahmen der Überprüfung und Verbesserung entstehen

• Berichte
• Audit-Reports
• Ergebnisse von Sicherheitstests
• Meldungen über sicherheitsrelevante Ereignisse
• weitere Dokumente zur Informationssicherheit

Dokumente müssen

• aussagekräftig
• für die jeweilige Zielgruppe verständlich sein

Nicht alle Informationen sind für die Leitungsebene geeignet

• es ist eine Aufgabe des IT-Sicherheitsmanagements, diese Informationen
  • zu sammeln
  • zu verarbeiten
  • kurz und übersichtlich aufzubereiten

Berichte an die Leitungsebene

Leitung benötigt Eckpunkte über den Stand der Informationssicherheit

• richtige Entscheidungen bei der Steuerung und Lenkung des Informationssicherheitsprozesses Eckpunkte in Management-Berichten aufbereiten
• Ergebnisse von Audits und Datenschutzkontrollen
• Berichte über Sicherheitsvorfälle
• Berichte über bisherige Erfolge und Probleme beim Informationssicherheitsprozess IS-Organisation informiert Leitungsebene regelmäßig in angemessener Form
• Ergebnisse der Überprüfungen
• Status des IS-Prozesses
• Probleme
• Erfolge
• Verbesserungsmöglichkeiten

Leitungsebene nimmt Management-Berichte zur Kenntnis und veranlasst notwendige Maßnahmen

Berichte an die Leitungsebene

Dokumentation im Informationssicherheitsprozess

Entscheidend für Erfolg

Dokumentation des IS-Prozesses auf allen Ebenen

Nur durch ausreichende Dokumentation

• werden getroffene Entscheidungen nachvollziehbar
• sind Prozesse wiederholbar und standardisierbar
• können Schwächen und Fehler erkannt und zukünftig vermieden werden

Abhängig vom Gegenstand und vom Verwendungszweck der Dokumentation

• Technische Dokumentation und Dokumentation von Arbeitsabläufen
• Anleitungen für Mitarbeiter
• Aufzeichnung von Management-Entscheidungen
• Gesetze und Regelungen

Technische Dokumentation Arbeitsabläufen

Zielgruppe

Experten

Aktuellen Stand beschreiben

• Geschäftsprozessen
• damit verbundener IT-Systeme und Anwendungen

Detaillierungsgrad technischer Dokumentationen

• andere Personen mit vergleichbarer Expertise sollen die Dokumentation nachvollziehen können
• Ein Administrator soll zwar auf sein Wissen, aber nicht auf sein Gedächtnis angewiesen sein, um die Systeme und Anwendungen wiederherzustellen

Dazu gehörten z.B.

• Installations- und Konfigurationsanleitungen
• Anleitungen für den Wiederanlauf nach einem Sicherheitsvorfall
• Dokumentation von Test- und Freigabeverfahren
• Anweisungen für das Verhalten bei Störungen und Sicherheitsvorfällen

Bei Sicherheitsübungen und bei Behandlung von Sicherheitsvorfällen

• Qualität der vorhandenen Dokumentationen bewerten
• gewonnene Erkenntnisse zur Verbesserung nutzen

Anleitungen für Mitarbeiter

Zielgruppe: Mitarbeiter

Sicherheitsmaßnahmen in Form von Richtlinien dokumentieren

• für die Mitarbeiter verständlich

Mitarbeiter müssen informiert und geschult sein

• Existenz und Bedeutung dieser Richtlinien

Dazu gehört

• Arbeitsabläufe und organisatorische Vorgaben
• Richtlinien zur Nutzung des Internets
• Verhalten bei Sicherheitsvorfällen

Entscheidungen aufzeichnen

• Informationssicherheitsprozess
• Sicherheitsstrategie
• jederzeit verfügbar
• nachvollziehbar
• wiederholbar

Gesetze und Regelungen

Zielgruppe: Leitungsebene

Für Informationsverarbeitung sind viele unterschiedliche relevant

• Gesetze
• Regelungen
• Anweisungen
• Verträge

Besondere Anforderungen sollten dokumentiert werden

• welche konkreten Konsequenzen ergeben sich daraus
  • Geschäftsprozesse
  • IT-Betrieb
  • Informationssicherheit

Aktuellen Stand der Dokumentationen sicherstellen

• Dafür muss die Dokumentation in den Änderungsprozess einbezogen werden

Informationsfluss und Meldewege

Richtlinie zum Informationsfluss und Meldewegen

• dokumentiert grundsätzliche Festlegungen
• zwischen Hol- und Bringschuld unterscheiden
  • Kommunikationsplan erstellen
  • Wer? Wem? Was? Wann? Bis wann? Form? Feedback bis?
• von der Leitungsebene verabschieden lassen

Aktualisierung der Meldewege

• Festlegungen für den Informationsfluss
• zeitnahe Aktualisierung von elementarer Bedeutung für die Aufrechterhaltung des Informationssicherheitsprozesses Verbesserung des Informationsflusses
• Ergebnisse aus Übungen, Tests und Audits sind nützliche Grundlage für die Verbesserung des Informationsflusses

Synergieeffekten für den Informationsfluss

Oft sind bereits Prozesse für den IT-Support definiert Synergieeffekte nutzen

• Meldewege für IT-Sicherheitsvorfälle können in den IT-Support integriert werden
• die Kapazitätsplanung um Aspekte der Notfallvorsorge erweitert werden.
• Viele Informationen, die aus Sicherheitsgründen erhoben werden, können auch zu anderen Zwecken genutzt werden Sicherheitsmaßnahmen haben positive Nebeneffekte
• besonders Optimierung von Prozessen ist für viele Bereiche relevant
  • Bestimmung von Informationseigentümern
  • Einstufung von Informationen nach einheitlichen Bewertungskriterien Überblick über die Abhängigkeit
• der Geschäftsprozesse von IT-Systemen und Anwendungen
• ist nicht nur für das Sicherheitsmanagement sinnvoll
• exakte Zuordnung von IT-Kosten, auf einzelne Geschäftsprozesse

Aktionspunkte Informationsfluss

1. Festlegungen zum Informationsfluss und zu den Meldewegen in einer Richtlinie dokumentieren und der Leitungsebene zur Verabschiedung vorlegen
2. Leitungsebene über die Ergebnisse von Überprüfungen und den Status des Informationssicherheitsprozesses informieren
3. Entscheidungen über erforderliche Korrekturmaßnahmen einholen
4. Alle Teilaspekte des gesamten Informationssicherheitsprozesses nachvollziehbar dokumentieren und die Dokumentation auf dem aktuellen Stand halten
5. Die Qualität der Dokumentation bewerten und nachbessern oder aktualisieren
6. Meldewege auf dem aktuellen Stand halten
7. Synergien zwischen dem Informationssicherheitsprozess und anderen Managementprozessen ausfindig machen