IT-Grundschutz/Verbesserungsprozess: Unterschied zwischen den Versionen
| Zeile 408: | Zeile 408: | ||
* Unternehmen und Behörden, die mit anderen Einrichtungen kooperieren wollen und Informationen über deren Sicherheitsniveau wünschen. | * Unternehmen und Behörden, die mit anderen Einrichtungen kooperieren wollen und Informationen über deren Sicherheitsniveau wünschen. | ||
Ein Zertifizierungsverfahren wirkt | ; Ein Zertifizierungsverfahren wirkt auch ''nach innen'' | ||
* Trägt dazu bei, das Bewusstsein der Mitarbeiter für die Notwendigkeit von Informationssicherheit zu stärken | |||
* Erleichtert dadurch die Umsetzung erforderlicher Sicherheitsmaßnahmen. | |||
==== Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz ==== | ==== Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz ==== | ||
Version vom 10. November 2023, 21:17 Uhr
IT-Grundschutz Verbesserungsprozess - Aufrechterhaltung und Verbesserung
Beschreibung
| Verfahren | Beschreibung |
|---|---|
| Informationssicherheitsprozess | |
| Überprüfung der Umsetzung | |
| Sicherheitsrevision | |
| Aktualität von Sicherheitszielen | |
| Übernahme der Ergebnisse in den Informationssicherheitsprozess | |
| Informationsfluss | |
| IT-Grundschutz-Zertifizierung | |
| Effizienz und Effektivität der Vorkehrungen |
- Informationssicherheit prüfen
- Abarbeitung einfacher Checklisten
- Punktuelle Prüfung der Netzsicherheit mittels Penetrationstests
- Umfassenden Prüfung
- Angemessenheit und Wirksamkeit
- der Umgesetzten
- technischen und organisatorischen Schutzmaßnahmen
- Regelmäßigen Intervalle
- Grundsätzlich gilt, dass umfassende Prüfungen in regelmäßigen Intervallen (jährlich bis maximal drei Jahre) durchgeführt werden sollten.
- Aber auch fallweise Prüfungen sind zweckmäßig, beispielsweise bei der Änderung von Geschäftsprozessen und insbesondere nach Sicherheitsvorfällen.
- Sicherheitsvorfälle
Sicherheitsvorfälle sollten immer ein Anlass sein, die Sicherheitskonzeption zu hinterfragen.
- Dies sollte offen und sorgfältig geschehen, um Schwachstellen, die einen Vorfall begünstigt haben, identifizieren und beseitigen zu können.
- Zweckmäßige Verfahren
Zwei zweckmäßige Verfahren, mit den Sie Ihr Sicherheitskonzept und das erreichte Schutzniveau prüfen können, sind die -Revision und der Cyber-Sicherheits-Check:
- Mit einer Informationssicherheitsrevision (-Revision) können Sie nach einem festgelegten Verfahren und von kompetenten Revisoren überprüfen lassen, ob das Sicherheitskonzept Ihrer Institution wie beabsichtigt umgesetzt ist und es nach wie vor den aktuellen Anforderungen gerecht wird.
- Die -Revision liefert sowohl den Verantwortlichen für Informationssicherheit als auch der Leitung einer Institution belastbare Informationen über den aktuellen Zustand der Informationssicherheit.
- Kurz-, Querschnitts- und Partialrevision
- Neben einer umfassenden Prüfung, die auf die vollständige und vertiefte Überprüfung der Informationssicherheit in einer Institution abhebt, gibt es mit der Kurz-, Querschnitts- und Partialrevision Varianten, bei denen Tiefe und Umfang der Prüfung begrenzt sind.
- Cyber-Sicherheits-Check
Wenn Sie noch wenig Erfahrung mit diesem Thema haben, kann der Cyber-Sicherheits-Check eine wichtige Hilfe bei der Überprüfung des Sicherheitsniveaus Ihrer Institution sein.
- Er gibt ihnen Hinweise zur Anfälligkeit gegen Cyberangriffe und ist so angelegt, dass die regelmäßige Durchführung das Risiko verringert, zum Opfer solcher Angriffe zu werden.
- Vorgehensmodell IT-Revision
Für die Durchführung der IT-Revision hat das BSI ein eigenes Vorgehensmodell entwickelt, das im Leitfaden -Revision beschrieben ist.
- Dort erfahren Sie auch mehr zu Prüfumfang und -tiefe sowie Einsatzzweck der unterschiedlichen Varianten des Verfahrens.
Geschäftsprozess
- Name
- Prozess-Owner
- Trigger
Vorarbeiten
- Realisierungsplan enthält Maßnahmen des Sicherheitskonzepts
- Bis wann werden Maßnahmen von wem wie umgesetzt
- Erforderliche Ressourcen
- Zwischentermine
- Begleitende Maßnahmen
- Regelmäßige Kontrollen
- Sicherstellen, dass alles wie geplant umgesetzt ist und funktioniert
- Stetiger Prozess
Informationssicherheit ist kein einmalig herzustellender und anschließend stabiler Zustand, sondern ein stetiger Prozess, der immer wieder an sich wandelnde und neue Herausforderungen angepasst werden muss.
- Angemessenheit und Wirksamkeit der technischen und organisatorischen Maßnahmen für Informationssicherheit in Ihrer Institution kontinuierlich überwachen und verbessern
- Umsetzungsstand der im Sicherheitskonzept vorgesehenen Maßnahmen prüfen
- Vorgehen bei der Überprüfung der Wirksamkeit von Maßnahmen
- Erkenntnisse der Prüfungen in Maßnahmen zur Verbesserung Ihres Informationssicherheitsmanagements überführen
- Kennzahlen können bei der Bewertung einzelner Aspekte der Informationssicherheit helfen
- Reifegradmodell nutzen
- Sicherheitsniveau nachweisen (27001-Zertifikat auf Basis von IT-Grundschutz)
Leitfragen
- Leitfragen für die Überprüfung
Um sicherzustellen, dass die Maßnahmen des Sicherheitskonzepts immer den Anforderungen entsprechen, müssen sie kontinuierlich überprüft werden.
- Überprüfungen sollten sich an folgenden Leitfragen orientieren
| Frage | Beschreibung |
|---|---|
| Welche Ziele der Informationssicherheit sind aktuell vordringlich? | Die Bedeutung von Sicherheitszielen kann sich im Zeitablauf verändern
|
| Wer ist verantwortlich für die Überwachung des Informationssicherheitsprozesses? | Häufig ist die Institution so komplex, dass der nicht alle Überprüfungen leiten und durchführen kann.
|
| Wie häufig sind die Verfahren zu überprüfen? | Für weniger wichtige Schutzmechanismen kann eine Überprüfung seltener erfolgen als für kritische Prozesse.
|
- Umsetzungshinweise
ISMS.1.M11: Aufrechterhaltung der Informationssicherheit
- Empfehlungen zur Vorgehensweise bei der Überprüfung des Sicherheitsprozesses
Informationssicherheitsprozess
- Überprüfung des Informationssicherheitsprozesses ist unabdingbar
- Fehler und Schwachstellen erkennen und abstellen
- Effizienz des IS-Prozesses optimieren
- Verbesserung der Praxistauglichkeit
- Strategie
- Maßnahmen
- Organisatorische Abläufe
Methoden zur Überprüfung
- Zur Effizienzprüfung und Verbesserung sollten Verfahren und Mechanismen eingerichtet werden
- Realisierung der beschlossenen Maßnahmen prüfen
- deren Wirksamkeit und Effizienz überprüfen
- Informationssicherheitsstrategie sollte Leitaussagen zur Messung der Zielerreichung machen
- Grundlagen für Messungen
- Detektion, Dokumentation und Auswertung von Sicherheitsvorfällen
- Durchführung von Übungen und Tests zur Simulation von Sicherheitsvorfällen
- Auswertung der Ergebnisse
- interne und externe Audits, Datenschutzkontrollen
- Zertifizierung nach festgelegten Sicherheitskriterien
- Internen Audits zur Erfolgskontrolle der umgesetzten Maßnahmen
- nicht durch denjenigen durchführen, der die Sicherheitskonzeption entwickelt hat
- Externe Experten mit der Durchführung solcher Prüfungsaktivitäten beauftragen
Aufwand von Audits
- hängt von der Komplexität und Größe des Informationsverbunds ab
- Anforderungen auch für kleine Institutionen geeignet
- Kleinen Einrichtungen
In kleinen Institutionen eventuell ausreichend
- Jährlicher technischer Check von IT-Systemen
- Vorhandene Dokumentationen auf Aktualität prüfen
- Probleme und Erfahrungen mit dem Sicherheitskonzept in Workshop besprechen
Überprüfung der Umsetzung
- Realisierungsplan prüfen
- Aufgabenliste und zeitliche Planung
- Ob und inwieweit dieser eingehalten wurde
- Angemessene Ressourcenplanung
- Voraussetzung für die Einhaltung geplanter Sicherheitsmaßnahmen
- Wurden ausreichende finanzielle und personelle Ressourcen zur Verfügung gestellt?
- Die Überprüfung dient auch
- Rechtzeitiger Wahrnehmung von Planungsfehlern
- Anpassung der Sicherheitsstrategie, wenn sich diese als unrealistisch erweist
- Benutzer-Akzeptanz
- Nach Einführung neuer Sicherheitsmaßnahmen
Akzeptanz bei Nutzern prüfen
- Werden neuen Maßnahmen nicht akzeptiert, ist ein Misserfolg vorprogrammiert
- Ursachen herauszuarbeiten und abstellen
- Oft reicht eine zusätzliche Aufklärung der Betroffenen
- Alternativen prüfen
Sicherheitsrevision
- Revision der Informationssicherheit anhand der IT-Grundschutz-Sicherheitsmaßnahmen
- Gleiche Vorgehensweise wie beim Basis-Sicherheitscheck
- Arbeitsökonomisch
- Angepasste Checkliste erstellen
- für jeden Baustein der IT-Grundschutz-Kataloge
- anhand der Maßnahmentexte
- erleichtert die Revision
- verbessert die Reproduzierbarkeit der Ergebnisse
Aktualität von Sicherheitszielen
Rahmenbedingungen und Sicherheitskonzeption
- In längeren Perspektiven prüfen
- gesetzte Sicherheitsziele
- Rahmenbedingungen
- Anpassung der Sicherheitsleitlinie und der Sicherheitsstrategie
- in schnelllebigen Branchen von elementarer Bedeutung
- Betriebliche Änderungen schon bei ihrer Planungsphase in die Sicherheitskonzeption einbeziehen
- Einsatz neuer IT-Systeme
- Umzug
- organisatorische Änderungen (z. B. Outsourcing)
- Änderungen gesetzlicher Anforderungen
- Nach jeder relevanten Änderung aktualisieren
- Sicherheitskonzeption
- dazugehörigen Dokumentation
- Im Änderungsprozess der Institution berücksichtigen
- Informationssicherheitsprozess in das Änderungsmanagement der Institution integrieren
Wirtschaftlichkeitsbetrachtung
- Wirtschaftlichkeit sollte unter konstanter Beobachtung bleiben
- Sicherheitsstrategie
- spezifische Sicherheitsmaßnahmen
- Kosten für Informationssicherheit sind schwer zu ermitteln
- oft hilfreich, für die weitere Planung: Prüfen, ob
- tatsächlich angefallene Kosten den geplanten entsprechen
- ressourcenschonendere Sicherheitsmaßnahmen eingesetzt werden können
- Nutzen herausarbeiten
Ebenso wichtig: Regelmäßig den Nutzen der vorhandenen Sicherheitsmaßnahmen herausarbeiten
Rückmeldungen
- Rückmeldungen von Internen und Externen
Rückmeldungen über Fehler und Schwachstellen in den Prozessen
- Informationssicherheitsorganisation
- Revision
auch von
- Mitarbeitern
- Geschäftspartnern
- Kunden oder Partnern
Wirksame Vorgehensweise festlegen
- Beschwerden und anderen Rückmeldungen von Internen und Externen verwerten
Beschwerden
- von Kunden oder Mitarbeitern können dabei ein Indikator für Unzufriedenheit sein
- Bereits entstehender Unzufriedenheit entgegenwirken!
- bei unzufriedenen Mitarbeitern/Kunden
- Gefahr von Handlungen die den Betrieb stören können
- fahrlässig
- vorsätzlich
- Rückmeldungen von Internen und Externen
- Umgang mit Beschwerden
- klar definiertes Verfahren
- eindeutig festgelegte Kompetenzen
- für den Umgang mit Beschwerden und für die Rückmeldung von Problemen an die zuständige Instanz
- Beschwerden schnellstmöglich beantworten
- damit die Hinweisgeber sich ernst genommen fühlen
- Gemeldeten Probleme bewerten
- Handlungsbedarf eingeschätzten
- angemessene Korrekturmaßnahmen zur Beseitigung der Ursachen von Fehlern ergreifen
- erneutes Auftreten verhindern
Informationsfluss
Informationsfluss im Informationssicherheitsprozess
- Im Rahmen der Überprüfung und Verbesserung entstehen
- Berichte
- Audit-Reports
- Ergebnisse von Sicherheitstests
- Meldungen über sicherheitsrelevante Ereignisse
- weitere Dokumente zur Informationssicherheit
Dokumente müssen
- aussagekräftig
- für die jeweilige Zielgruppe verständlich sein
Nicht alle Informationen sind für die Leitungsebene geeignet
- es ist eine Aufgabe des IT-Sicherheitsmanagements, diese Informationen
- zu sammeln
- zu verarbeiten
- kurz und übersichtlich aufzubereiten
Berichte
Berichte an die Leitungsebene
- Leitung benötigt Eckpunkte über den Stand der Informationssicherheit
- richtige Entscheidungen bei der Steuerung und Lenkung des Informationssicherheitsprozesses Eckpunkte in Management-Berichten aufbereiten
- Ergebnisse von Audits und Datenschutzkontrollen
- Berichte über Sicherheitsvorfälle
- Berichte über bisherige Erfolge und Probleme beim Informationssicherheitsprozess IS-Organisation informiert Leitungsebene regelmäßig in angemessener Form
- Ergebnisse der Überprüfungen
- Status des IS-Prozesses
- Probleme
- Erfolge
- Verbesserungsmöglichkeiten
- Leitungsebene nimmt Management-Berichte zur Kenntnis und veranlasst notwendige Maßnahmen
- Berichte an die Leitungsebene
Dokumentation im Informationssicherheitsprozess
- Dokumentation im Informationssicherheitsprozess
- Entscheidend für Erfolg
Dokumentation des IS-Prozesses auf allen Ebenen
- Nur durch ausreichende Dokumentation
- werden getroffene Entscheidungen nachvollziehbar
- sind Prozesse wiederholbar und standardisierbar
- können Schwächen und Fehler erkannt und zukünftig vermieden werden
- Abhängig vom Gegenstand und vom Verwendungszweck der Dokumentation
- Technische Dokumentation und Dokumentation von Arbeitsabläufen
- Anleitungen für Mitarbeiter
- Aufzeichnung von Management-Entscheidungen
- Gesetze und Regelungen
- Technische Dokumentation Arbeitsabläufen
- Zielgruppe
- Experten
- Aktuellen Stand beschreiben
- Geschäftsprozessen
- damit verbundener IT-Systeme und Anwendungen
- Detaillierungsgrad technischer Dokumentationen
- andere Personen mit vergleichbarer Expertise sollen die Dokumentation nachvollziehen können
- Ein Administrator soll zwar auf sein Wissen, aber nicht auf sein Gedächtnis angewiesen sein, um die Systeme und Anwendungen wiederherzustellen
- Dazu gehörten z.B.
- Installations- und Konfigurationsanleitungen
- Anleitungen für den Wiederanlauf nach einem Sicherheitsvorfall
- Dokumentation von Test- und Freigabeverfahren
- Anweisungen für das Verhalten bei Störungen und Sicherheitsvorfällen
- Bei Sicherheitsübungen und bei Behandlung von Sicherheitsvorfällen
- Qualität der vorhandenen Dokumentationen bewerten
- gewonnene Erkenntnisse zur Verbesserung nutzen
- Anleitungen für Mitarbeiter
Zielgruppe: Mitarbeiter
- Sicherheitsmaßnahmen in Form von Richtlinien dokumentieren
- für die Mitarbeiter verständlich
Mitarbeiter müssen informiert und geschult sein
- Existenz und Bedeutung dieser Richtlinien
- Dazu gehört
- Arbeitsabläufe und organisatorische Vorgaben
- Richtlinien zur Nutzung des Internets
- Verhalten bei Sicherheitsvorfällen
- Entscheidungen aufzeichnen
- Informationssicherheitsprozess
- Sicherheitsstrategie
- jederzeit verfügbar
- nachvollziehbar
- wiederholbar
- Gesetze und Regelungen
Zielgruppe: Leitungsebene
- Für Informationsverarbeitung sind viele unterschiedliche relevant
- Gesetze
- Regelungen
- Anweisungen
- Verträge
- Besondere Anforderungen sollten dokumentiert werden
- welche konkreten Konsequenzen ergeben sich daraus
- Geschäftsprozesse
- IT-Betrieb
- Informationssicherheit
- Aktuellen Stand der Dokumentationen sicherstellen
- Dafür muss die Dokumentation in den Änderungsprozess einbezogen werden
- Informationsfluss und Meldewege
Richtlinie zum Informationsfluss und Meldewegen
- dokumentiert grundsätzliche Festlegungen
- zwischen Hol- und Bringschuld unterscheiden
- Kommunikationsplan erstellen
- Wer? Wem? Was? Wann? Bis wann? Form? Feedback bis?
- von der Leitungsebene verabschieden lassen
- Aktualisierung der Meldewege
- Festlegungen für den Informationsfluss
- zeitnahe Aktualisierung von elementarer Bedeutung für die Aufrechterhaltung des Informationssicherheitsprozesses Verbesserung des Informationsflusses
- Ergebnisse aus Übungen, Tests und Audits sind nützliche Grundlage für die Verbesserung des Informationsflusses
- Synergieeffekten für den Informationsfluss
- Oft sind bereits Prozesse für den IT-Support definiert Synergieeffekte nutzen
- Meldewege für IT-Sicherheitsvorfälle können in den IT-Support integriert werden
- die Kapazitätsplanung um Aspekte der Notfallvorsorge erweitert werden.
- Viele Informationen, die aus Sicherheitsgründen erhoben werden, können auch zu anderen Zwecken genutzt werden Sicherheitsmaßnahmen haben positive Nebeneffekte
- besonders Optimierung von Prozessen ist für viele Bereiche relevant
- Bestimmung von Informationseigentümern
- Einstufung von Informationen nach einheitlichen Bewertungskriterien Überblick über die Abhängigkeit
- der Geschäftsprozesse von IT-Systemen und Anwendungen
- ist nicht nur für das Sicherheitsmanagement sinnvoll
- exakte Zuordnung von IT-Kosten, auf einzelne Geschäftsprozesse
- Aktionspunkte Informationsfluss
- Festlegungen zum Informationsfluss und zu den Meldewegen in einer Richtlinie dokumentieren und der Leitungsebene zur Verabschiedung vorlegen
- Leitungsebene über die Ergebnisse von Überprüfungen und den Status des Informationssicherheitsprozesses informieren
- Entscheidungen über erforderliche Korrekturmaßnahmen einholen
- Alle Teilaspekte des gesamten Informationssicherheitsprozesses nachvollziehbar dokumentieren und die Dokumentation auf dem aktuellen Stand halten
- Die Qualität der Dokumentation bewerten und nachbessern oder aktualisieren
- Meldewege auf dem aktuellen Stand halten
- Synergien zwischen dem Informationssicherheitsprozess und anderen Managementprozessen ausfindig machen
IT-Grundschutz-Zertifizierung
- Allgemein anerkannte Zertifikate setzen Maßstäbe und schaffen Vertrauen
- Auch im Bereich der Informationssicherheit sind verlässliche Standards wünschenswert, die den Anwendern Orientierung zur Sicherheit von Produkten, Systemen und Verfahren bieten.
- Daher gibt es bereits seit vielen Jahren international anerkannte Kriterienwerke, auf deren Grundlage die Sicherheitseigenschaften von Produkten und Systemen durch unabhängige Zertifizierungsstellen bestätigt werden können.
Das 27001-Zertifikat auf Basis von -Grundschutz belegt in besonderer Weise das Bemühen um Informationssicherheit, da Grundlage für die Vergabe nicht nur die Erfüllung der allgemeinen Anforderungen der Norm 27001 an das Sicherheitsmanagement ist, sondern auch die nachgewiesene Umsetzung der wesentlich konkreteren Anforderungen des -Grundschutzes.
Die Zertifizierung des Managements für Informationssicherheit kann für unterschiedliche Zielgruppen interessant sein, zum Beispiel für
- Anbieter im E-Commerce oder E-Government, die verdeutlichen wollen, dass sie sorgfältig und sicherheitsbewusst mit den Daten der Kunden und Bürger umgehen,
- IT-Dienstleister, die mit einem allgemein anerkannten Maßstab die Sicherheit ihrer Dienstleistungen belegen wollen,
- Unternehmen und Behörden, die mit anderen Einrichtungen kooperieren wollen und Informationen über deren Sicherheitsniveau wünschen.
- Ein Zertifizierungsverfahren wirkt auch nach innen
- Trägt dazu bei, das Bewusstsein der Mitarbeiter für die Notwendigkeit von Informationssicherheit zu stärken
- Erleichtert dadurch die Umsetzung erforderlicher Sicherheitsmaßnahmen.
Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz
- Zertifizierung ist eine weitere Methode zur Prüfung
- Erreichung der Sicherheitsziele
- die Umsetzung der Sicherheitsmaßnahmen
- Hierbei begutachten qualifizierte unabhängige Stellen
- das Management von Informationssicherheit
- die Umsetzung von Informationssicherheit
- Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz liefert Auditergebnis
- Nachvollziehbar
- Wiederholbar
- Vergleichbar
- Dokumentation
- ISO 27001 als auch IT-Grundschutz in der erforderlichen Tiefe umgesetzt
- Eignung der Informationssicherheitsstrategie
- Um den Informationssicherheitsprozess erfolgreich steuern und lenken zu können,
- muss die Leitungsebene einen Überblick darüber haben,
- inwieweit die Sicherheitsziele mithilfe der
- eingesetzten Sicherheitsstrategie tatsächlich erreicht werden konnten.
Zertifizierungsprozess
Voraussetzung für die Vergabe eines ISO 27001-Zertifikats auf Basis von -Grundschutz ist der Nachweis, dass ein den Anforderungen der Norm entsprechendes Informationssicherheitsmanagement eingerichtet ist und die -Grundschutz-Anforderungen wirksam erfüllt sind.
- Gegenstand der Zertifizierung muss dabei nicht die gesamte Institution sein.
- Der betrachtete Informationsverbund kann sich auch auf einzelne Geschäftsprozesse, Fachaufgaben oder Organisationseinheiten beschränken.
- Diese müssen jedoch sinnvoll abgegrenzt sein und eine gewisse Mindestgröße haben.
Die folgende Abbildung veranschaulicht den Zertifizierungsprozess:
"ISO 27001-Zerifizierung auf Basis von IT-Grundschutz - Zertifizierungsprozess"
Für den Nachweis, dass die Anforderungen erfüllt sind, ist ein Audit durch einen unabhängigen, vom anerkannten Auditor erforderlich.
- Jedes Audit setzt sich grundsätzlich aus zwei getrennten, aufeinander aufbauenden Phasen zusammen:
- Phase 1 umfasst eine Dokumentenprüfung der so genannten Referenzdokumente des Antragstellers.
- Dazu zählen neben den geltenden Sicherheitsrichtlinien (Leitlinie zur Informationssicherheit, Richtlinien zur Risikoanalyse, Richtlinie zur internen -Auditierung) und dem Risikobehandlungsplan insbesondere auch die Ergebnisdokumente der verschiedenen Phasen der Sicherheitskonzeption (Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, -Grundschutz-Check, Risikoanalyse, Realisierungsplanung).
- In Phase 2 folgt die Umsetzungsprüfung durch den Auditor, bei der die Vollständigkeit, Korrektheit, und Wirksamkeit der in den Referenzdokumenten beschriebenen Maßnahmen sowie deren Konformität zu den Anforderungen von 27001 und -Grundschutz im Fokus stehen.
Ein Zertifikat wird nur erteilt, wenn der Auditbericht ein positives Gesamtvotum aufweist und durch die Zertifizierungsstelle akzeptiert wurde.
- Im Rahmen einer Prüfbegleitung wird der Auditbericht gegen die Vorgaben des vom veröffentlichen Zertifizierungsschemas geprüft.
Ein erteiltes Zertifikat ist drei Jahre lang gültig und muss in diesem Zeitraum durch ein jährliches Überwachungsaudit bestätigt werden.
Das der 27001-Zertifizierung auf Basis von -Grundschutz zugrunde liegende Zertifizierungsschema, Hinweise zu den erforderlichen Referenzdokumenten und alle weiteren wichtigen Informationen zum Thema finden Sie in einem eigenen Unterthema gebündelt auf der Website des .
Bewertung
Kennzahlen
Grundschutz/Kennzahlen - Beschreibung
Beschreibung
- Kennzahlen
Bewährtes Instrument zur Kommunikation über Erfolge und Probleme
- Indikatoren für die Güte
- Sicherheitsprozesses
- Einzelner Sicherheitsaspekte
- Beispiele
Schichten des IT-Grundschutz/Kompendiums
- Technisch
- Organisatorisch
- Kennzahlen zur Informationssicherheit
| Baustein | Bezeichnung | Anforderung | Kennzahl |
|---|---|---|---|
| ISMS.1 | Sicherheitsmanagement | Die Leitungsebene SOLLTE regelmäßig über den Stand der Informationssicherheit informiert werden. | Anzahl der Leitungsmeetings mit Sicherheitsreport / Anzahl aller Leitungsmeetings |
| ORP.2 | Personal | Aufgaben und Zuständigkeiten von Mitarbeitern SOLLTEN in geeigneter Weise dokumentiert sein. | Anzahl der Mitarbeiterverträge mit Verpflichtung zur sicheren Handhabung von Informationen / Anzahl aller Mitarbeiterverträge |
| CON.3 | Datensicherungskonzept | Die Datensicherung und ein möglicherweise vorzunehmender Restore SOLLTEN regelmäßig getestet werden. | Anzahl erfolgreicher Tests / Gesamtzahl der Tests zur Wiederherstellung gesicherter Daten |
| OPS.1.1.2 | Ordnungsgemäße IT-Administration | Die Befugnisse, Aufgaben und Pflichten der -Administratoren SOLLTEN in einer Arbeitsanweisung oder Richtlinie verbindlich festgeschrieben werden. | Anzahl von Arbeitsanweisungen / Anzahl aller Administratoren |
| DER.1 | Detektion von sicherheitsrelevanten Ereignissen | Die gesammelten Ereignismeldungen der -Systeme und Anwendungssysteme SOLLTEN auf einer zentralen Protokollinfrastruktur aufbewahrt werden. | Anzahl zentral gesammelter Ereignismeldungen / Anzahl aller Ereignismeldungen |
| APP.1.1 | Office-Produkte | Neue Office-Produkte SOLLTEN vor dem Einsatz auf Kompatibilität mit etablierten Arbeitsmitteln getestet werden. | Anzahl der eingesetzten getesteten Office-Produkte / Anzahl aller eingesetzten Office-Produkte |
| SYS.1.1 | Allgemeiner Server | Ablauf, Rahmenbedingungen und Anforderungen an administrative Aufgaben sowie die Aufgabentrennungen zwischen den verschiedenen Rollen der Benutzer des -Systems SOLLTEN in einem Benutzer- und Administrationskonzept festgeschrieben werden. | Anzahl von Servern mit detailliertem Administrationskonzept / Anzahl aller Server |
- Vielzahl an Kennzahlen
Diese Beispiele verdeutlichen, dass für eine umfassende Bewertung der Informationssicherheit eine Vielzahl an Kennzahlen nötig ist.
- Erhebung, Berechnung und Aufbereitung der Kennzahlen erfordern unter Umständen einen sehr hohen Aufwand
- wobei technische Kennzahlen oft automatisiert erhoben werden können und
- damit der bei ihnen anfallende Aufwand meist geringer ist als bei organisatorischen Kennzahlen.
- Aufwand
Damit der Aufwand in einem angemessenen Verhältnis zum Ergebnis steht, ist es wichtig, dass die Ziele der Kennzahlen klar formuliert und der erforderliche Aufwand für die Erhebung der Messwerte gut abgeschätzt werden.
- Wenn Sie planen, in Ihrer Institution Kennzahlen zur Informationssicherheit einzuführen, empfiehlt es sich, zunächst mit wenigen Kennzahlen zu starten und diese dann mithilfe der gewonnenen Erfahrungen Schritt für Schritt zu ergänzen.
Reifegradmodelle
- Qualität des Informationssicherheitsprozesses
- Bewertung mit Reifegraden
Hierzu muss das über Jahre hinweg analysiert und bewertet werden
- Maßstab
Der Maßstab für die „Reife“ des gesamten oder aber auch von Teilen hiervon ist der Grad der Strukturierung und der systematischen Steuerung des Prozesses.
- Beispiel
Beispiel für die Definition von Reifegraden
- Reifegrade und ihre Merkmale
| Reifegrad | Kennzeichen |
|---|---|
| 0 | Es existiert kein Prozess, es gibt auch keine Planungen hierzu. |
| 1 | Es gibt Planungen zur Etablierung eines Prozesses, jedoch keine Umsetzungen. |
| 2 | Teile des Prozesses sind umgesetzt, es fehlt jedoch an systematischer Dokumentation. |
| 3 | Der Prozess ist vollständig umgesetzt und dokumentiert. |
| 4 | Der Prozess wird darüber hinaus auch regelmäßig auf Effektivität überprüft. |
| 5 | Zusätzlich sind Maßnahmen zur kontinuierlichen Verbesserung vorhanden. |
- Ziel der Anwendung eines Reifegradmodells
- Qualität aller Teilbereiche des ISMS zu erhöhen
- Durch regelmäßige Analysen können Sie überprüfen, welche Prozesse noch unzureichend gesteuert sind.
Die folgende Grafik stellt beispielhaft die erreichten Reifegrade verschiedener Themenfelder in einer Institution dar.
- Wo der Reifegrad niedrig ist, besteht ein besonderer Handlungsbedarf
Reifegradmodelle können dabei unterstützen, Schwerpunkte für die Weiterentwicklung eines ISMS zu setzen.
Behandlung der Prüfergebnisse
Die Ergebnisse aller Überprüfungen müssen dokumentiert und der Leitung mitgeteilt werden.
- Diese benötigt insbesondere Informationen über den Stand der Umsetzung, Erfolge und auch Probleme sowie Risiken aufgrund von Umsetzungsmängeln.
- Bei Abweichungen von der Planung müssen Vorschläge erarbeitet werden, wie diese anzupassen oder die Umsetzung zu korrigieren ist.
- Gleiches gilt für Vorschläge zur Verbesserung und Weiterentwicklung der Sicherheitsmaßnahmen.
- Alle Entscheidungen hierzu, auch die Übernahme von Risiken durch eine verzögerte Umsetzung von Maßnahmen, müssen dokumentiert werden.
Standard-Anforderungen, die Berichte an die Leitungsebene erfüllen SOLLTEN, werden im Baustein ISMS.1 Sicherheitsmanagement des -Grundschutz-Kompendiums unter ISMS.1.A12 Management-Berichte zur Informationssicherheit beschrieben.
Übernahme der Ergebnisse in den Informationssicherheitsprozess
- Ergebnisse der Erfolgskontrolle notwendig für Verbesserung des IS-Prozesses
Es kann sich herausstellen, dass
- Sicherheitsziele,
- Sicherheitsstrategie oder
- Sicherheitskonzept
geändert und die Sicherheitsorganisation angepasst werden sollten.
- Unter Umständen sinnvoll
- grundlegende Änderungen an der IT-Umgebung
- Geschäftsprozesse verändern
- z. B. wenn Sicherheitsziele unter den bisherigen Rahmenbedingungen nicht oder
- nur umständlich (also mit hohem finanziellen oder personellen Aufwand)
- erreicht werden können.
- Management-Kreislauf schließt sich
- größere Veränderungen vorgenommen und umfangreiche Verbesserungen
- neue Planungsphase beginnen
Überprüfungen von geeigneten Personen durchführen lassen
- Kompetenz
- Unabhängigkeit
Vollständigkeits- und Plausibilitätskontrollen
- sollten nicht durch die Ersteller der Konzepte durchgeführt werden.
- Vorgehensweise zur Überprüfung und Verbesserung
- in Richtlinie dokumentieren
- von der Leitungsebene verabschieden lassen
In der Richtlinie zur Überprüfung und Verbesserung sollte geregelt werden,
- wie interne Audits im Bereich der Informationssicherheit durchzuführen sind und
- wie die Ergebnisse in den Änderungsprozess einfließen.
Prüfergebnisse und -berichte sind
- im Allgemeinen als hochvertraulich zu betrachten und
- müssen besonders gut geschützt werden.
- Überprüfung des Informationssicherheitsprozesses - Aktionspunkte
- Vorgehensweise in einer Richtlinie dokumentieren und der Leitungsebene zur Verabschiedung vorlegen
- Messung der Zielerreichung in die Sicherheitsstrategie integrieren
- Einhaltung des Realisierungsplans prüfen
- Realisierung der beschlossenen Maßnahmen überprüfen
- Wirksamkeit und Effizienz der beschlossenen Maßnahmen überprüfen
- Prüfen, ob die Sicherheitsmaßnahmen akzeptiert werden und gegebenenfalls nachbessern
- Rollenkonflikt zwischen Ersteller und Prüfer beachten
- Vertraulichkeit der Untersuchungsergebnisse sicherstellen
- Eignung und Aktualität von Sicherheitszielen, -strategien und -konzeption prüfen
- Angemessenheit der bereitgestellten Ressourcen und die Wirtschaftlichkeit der Sicherheitsstrategie und -maßnahmen überprüfen
- Ergebnisse der Überprüfungen in Form von Verbesserungen in den Informationssicherheitsprozess einfließen lassen
Anhang
Siehe auch
Links
Weblinks