Diskussion:Skript/ISMS
Artikel
Organisatorisch
- Aufbau-Organisation
- Ablauf-Organisation
ISO/IEC 27001
- Anforderungen
- Bestandteile
ISO/27001 - Anforderungen an ein Informationssicherheitsmanagementsystem
Beschreibung
Internationale Norm
- Informationstechnologie - Sicherheitstechniken - Informationssicherheitsmanagementsysteme - Anforderungen
- Information technology - Security techniques - Information security management systems - Requirements
Dokumentiertes Informationssicherheits-Managementsystems
- unter Berücksichtigung des Kontexts einer Organisation
- Anforderungen an ein ISMS
| Einrichtung |
| Umsetzung |
| Aufrechterhaltung |
| Fortlaufende Verbesserung |
- Beurteilung und Behandlung von Informationssicherheitsrisiken
Weiterhin beinhaltet die Norm Anforderungen für die Beurteilung und Behandlung von Informationssicherheitsrisiken entsprechend den individuellen Bedürfnissen der Organisation
- Hierbei werden sämtliche Arten von Organisationen (beispielsweise Handelsunternehmen, staatliche Organisationen, Non-Profitorganisationen) berücksichtigt
- Die Norm wurde auch als DIN-Norm veröffentlicht und ist Teil der ISO 27000-Reihe
Die Norm spezifiziert Anforderungen für die Implementierung von geeigneten Sicherheitsmechanismen, welche an die Gegebenheiten der einzelnen Organisationen adaptiert werden sollen
- Der deutsche Anteil an diesem internationalen Normungsprojekt wird vom DIN NIA-01-27 IT-Sicherheitsverfahren betreut
Inhalte
Anwendung
- Bereiche
- Formulierung von Anforderungen und Zielsetzungen zur Informationssicherheit
- Kosteneffizientes Management von Sicherheitsrisiken
- Sicherstellung der Konformität mit Gesetzen und Regulatorien
- Prozessrahmen für die Implementierung und das Management von Maßnahmen zur Sicherstellung von spezifischen Zielen zur Informationssicherheit
- Definition von neuen Informationssicherheits-Managementprozessen
- Identifikation und Definition von bestehenden Informationssicherheits-Managementprozessen
- Definition von Informationssicherheits-Managementtätigkeiten
- Gebrauch durch interne und externe Auditoren zur Feststellung des Umsetzungsgrades von Richtlinien und Standards
Anforderungen
Anhang (Normativ)
- Beispiele für Anforderungen
Zuordnung ISO und IT-Grundschutz
Zuordnung ISO und IT-Grundschutz
Zertifizierung
Managementsysteme
Viele Einrichtungen haben interne Sicherheitsrichtlinien für ihre IT
- Durch eine interne Begutachtung (Audit) können Unternehmen ihr korrektes Vorgehen im Abgleich mit ihren eigenen Vorgaben überprüfen
- Unternehmen können damit allerdings ihre Kompetenzen im Bereich der IT-Sicherheit nicht öffentlichkeitswirksam gegenüber (möglichen) Kunden aufzeigen
- Dazu ist eine Zertifizierung beispielsweise nach ISO/IEC 27001, ISO/IEC 27001-Zertifikat auf Basis von IT-Grundschutz oder nach IT-Grundschutz sinnvoll
- Konformität zu Normen und Standards
- Konformität von sich aus verkünden
- Kunden bitten, die Konformität zu bestätigen
- Unabhängiger externen Auditor kann die Konformität verifizieren
- Begutachtung durch eine staatliche Stelle (beispielsweise das BSI)
- Die ISO selbst führt keine Zertifizierungen durch
- Gibt den Rahmen vor
Personen
Es existieren verschiedene, meist modulare, Schemata zur Ausbildung und Zertifizierung von Personen im Bereich der ISO/IEC 27000-Reihe
- Diese werden von unterschiedlichen Zertifizierungsunternehmen gestaltet, siehe Liste der IT-Zertifikate
Normen, Standards, Rahmenwerke
Weitere relevante Standards ISMS/Standard - Standards zur Informationssicherheit
Beschreibung
Normen und Standards im Überblick
Gründe für Standards
Aufwand für die Sicherung von IT-Ressourcen kann sehr hoch sein
- Traditionell
- wird zuerst eine Analyse der vorhandenen schützenswerten Objekte (Assets) und eine Risiko-/Bedrohungsanalyse durchgeführt
- Danach
- werden die notwendigen Sicherheitsmaßnahmen ausgewählt
- die zum Schutz der jeweiligen Assets für nötig erachtet werden
Um den Zeit- und Arbeitsaufwand für die Sicherung reduzieren
- zu können und unternommene Sicherheitsbemühungen besser vergleichen zu können, werden in der Praxis oft Kriterienkataloge angewandt, die den Sicherheitsverantwortlichen bei seiner Arbeit unterstützen
- Die verschiedenen Kriterienwerke haben aber eine unterschiedliche Auslegung bezüglich der Anwendung, der verwendeten Methoden und der betrachteten Problemstellungen
Normen und Standards
In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements an der ISO/IEC-27000-Reihe
- Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet
- Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung
- Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von "Industrial Automation and Control Systems" (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller
Nutzen von Sicherheitsstandards
| Option | Beschreibung |
|---|---|
| Kostensenkung |
|
| Angemessenes Sicherheitsniveau |
|
| Wettbewerbsvorteile |
|
| Rechtssicherheit |
|
Normen und Richtlinien
- Zweck und Struktur relevanter Normen und Richtlinien
Arten von Normen und Standards
- Standards zur Informationssicherheit im Überblick
Beispiele
- Beispiele für Normen und Standards
Verbindlichkeit
Normen/Modalverben - Modalverben beschreiben die Verbindlichkeit einer Anforderung
Beschreibung
| Modalverben | Verbindlichkeit |
|---|---|
| MUSS | Anforderung muss unbedingt erfüllt werden |
| SOLL | MUSS, wenn kann |
| KANN | Empfehlung |
IT-Grundschutz
IT-Grundschutz - Information Security Management System (ISMS) nach BSI-Standards
Beschreibung
- Identifizieren und Umsetzen von Sicherheitsmaßnahmen
- Wege zur Informationssicherheit
Es gibt viele Wege zur Informationssicherheit
- Mit dem IT-Grundschutz haben Sie die Möglichkeit, dieses Ziel effizient zu erreichen, unterwegs Umwege zu vermeiden und mögliche Gefährdungen im Blick zu behalten
- Grundschutz will nicht nur eine Landkarte, sondern ein Wegweiser für Informationssicherheit sein
Konzept
- Normaler Schutzbedarf
Auf die differenzierte Einteilung nach Schadenshöhe und Eintrittswahrscheinlichkeit wird bei normalem Schutzbedarf in der Regel verzichtet
- Verzicht auf initiale Risikoanalysen
- Pauschalisierte Gefährdungen
Schutzbedarf
Schutzbedarf festlegen
- Schutzbedarfskategorien
| Kategorie | Schaden |
|---|---|
| Normal | überschaubar |
| Hoch | beträchtlich |
| Sehr Hoch | existenzgefährdend |
Anforderungen
- Sicherheitsmaßnahmen
Sicherheitsmaßnahmen auswählen
- personell
- technisch
- organisatorisch
- infrastrukturell
Kochrezepte
- Basierend auf dem IT-Grundschutz-Kompendium
BSI-Standard 200-2 bietet konkrete Anleitungen für ein Normales Schutzniveau
- Eintrittswahrscheinlichkeit/Schadenshöhe
- Eintrittswahrscheinlichkeiten und potenzielle Schadenshöhe, auch die Kosten der Umsetzung werden berücksichtigt
- IT-Grundschutz-Kompendium
Durch die Verwendung des IT‑Grundschutz-Kompendiums entfällt eine aufwendige Sicherheitsanalyse
- das Expertenwissen erfordert
- da anfangs mit pauschalisierten Gefährdungen gearbeitet wird
- Es ist möglich, auch als relativer Laie die zu ergreifenden Maßnahmen zu identifizieren und in Zusammenarbeit mit Fachleuten umzusetzen
- Erfolgreiche Umsetzung
Als Bestätigung für das erfolgreiche Umsetzen des Grundschutzes zusammen mit dem Etablieren eines Informationssicherheitsmanagementsystems (ISMS) wird vom BSI ein Zertifikat ISO/IEC 27001 auf Basis von IT-Grundschutz vergeben
- Basis dieses Verfahrens sind die neuen BSI-Sicherheitsstandards
- Dieses Verfahren trägt einer Entwicklung Rechnung, die bereits seit einiger Zeit vorherrscht
- Unternehmen, die sich nach dem ISO/IEC 27001-Standard zertifizieren lassen, sind zur Risikoanalyse verpflichtet
- Um es sich komfortabler zu gestalten, wird meist auf die Schutzbedarfsfeststellung gemäß IT-Grundschutz-Katalogen ausgewichen
- Der Vorteil ist sowohl das Erreichen der Zertifizierung nach ISO/IEC 27001, als auch eine Konformität zu den strengen Richtlinien des BSI
- Darüber hinaus bietet das BSI einige Hilfsmittel wie Musterrichtlinien an
- Datenschutz
Es liegt auch ein Baustein für den Datenschutz vor, der von dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit in Zusammenarbeit mit den Datenschutzbehörden der Länder erarbeitet und in die IT-Grundschutz-Kataloge integriert wurde
- Dieser Baustein findet jedoch als nationale Ausprägung im Zertifizierungsverfahren für eine internationale Norm keine Berücksichtigung
Herausforderungen
Komplexität
Komplexität der Gefährdungslage
Gefährdungen können unterschiedlichste Ursachen haben und auf mannigfaltigen Wegen die Ziele der Informationssicherheit verletzen. Angriffe von Hackern, Fahrlässigkeiten oder technische Mängel sind ebenso im Blick zu behalten wie Naturkatastrophen und andere Formen höherer Gewalt.
Ganzheitlichkeit
Ganzheitlichkeit der Sicherheitskonzepte
Informationssicherheit erfordert Maßnahmen auf mehreren Ebenen: Betroffen sind nicht nur die -Systeme, sondern auch die Organisation, das Personal, die räumliche Infrastruktur, die Arbeitsplätze und die betrieblichen Abläufe
Angemessenheit
Angemessenheit der Sicherheitsmaßnahmen
- Es ist auch auf die Wirtschaftlichkeit und Angemessenheit der Sicherheitsmaßnahmen zu achten
- Den bestehenden Gefährdungen muss zwar wirkungsvoll begegnet werden, die eingesetzten Maßnahmen sollten aber an dem tatsächlich bestehenden Schutzbedarf ausgerichtet sein und dürfen eine Institution nicht überfordern
- Unangemessen kostspielige Maßnahmen sind zu vermeiden, ebenso solche Vorkehrungen, durch die wichtige Abläufe einer Institution über Gebühr behindert werden
Externe Anforderungen
Erfüllung externer Anforderungen
- Es wird heutzutage für viele Unternehmen und Behörden immer wichtiger, nachweisen zu können, dass sie in ausreichendem Maße für Informationssicherheit gesorgt haben
- Dieser Nachweis fällt leichter, wenn eine Institution ihre Vorkehrungen für Informationssicherheit an allgemein anerkannten Standards ausrichtet
Nachhaltigkeit
Nachhaltigkeit der Sicherheitsmaßnahmen
- Und nicht zuletzt gilt: Sicherheit ist kein einmal erreichter und fortan andauernder Zustand
- Unternehmen und Behörden ändern sich und damit auch die in ihnen schützenswerten Informationen, Prozesse und Güter
- Neuartige Schwachstellen und Bedrohungen machen es in gleicher Weise erforderlich, die vorhandenen Sicherheitskonzepte zu überprüfen und weiterzuentwickeln
Übersicht
| Standards | |
|---|---|
| 200-1 | Anforderungen an ein ISMS |
| 200-2 | Umsetzung der Anforderungen |
| 200-3 | Risikoanalyse |
| 200-4 | Business Continuity Management |
| Kompendium | |
| Kapitel 1 | Vorspann |
| Kapitel 2 | Schichtenmodell / Modellierung |
| Elementare Gefährdungen |
Elementare Gefährdungen |
| Schichten | Prozesse Systeme |
- Bestandteile
| Standards | Vorgehen |
| Kompendium | Anforderungen |
Sicherheitsniveau
- Mittel
- Im Allgemeinen ausreichend und angemessen
- Erweiterbar für erhöhten Schutzbedarf
Anforderungen
| Bereich | Beschreibung |
|---|---|
| Technik | Geräte, Netzwerke, Strukturen, ... |
| Infrastruktur | Räume, Gebäude, Gelände, Strom, Wasser, Zuwege, Netzanbindung, Brandschutz, ... |
| Organisation | Ablauforganisation, Aufbauorganisation |
| Personal | Rollen, Zuständigkeiten, Schnittstellen, Informationsaustausch, ... |
Zertifizierung
ISO/IEC 27001-Zertifikat auf Basis von IT-Grundschutz
- Nachweis
Systematisches Vorgehen
Absicherung
- von IT-Systemen gegen Gefährdungen
Geschäftsprozesse und Informationen
- Wichtigkeit und Bedeutung von Informationen
Für Unternehmen und Behörden ist es unerlässlich, dass Informationen
- korrekt vorliegen
- vertraulich behandelt werden
- Entsprechend wichtig ist, dass
Technischen Systeme, mit denen Informationen gespeichert, verarbeitet oder übertragen werden
- reibungslos funktionieren
- wirksam gegen vielfältige Gefährdungen geschützt sind
IT-Grundschutz des BSI
- Grundlage
- Herausforderungen professionell gerecht werden
- Bemühungen für Informationssicherheit strukturieren
- IT-Grundschutz ermöglicht
- Systematische Schwachstellensuche
- Prüfen der Angemessenheit von Schutzmaßnahmen
- Sicherheitskonzepte entwickeln und fortschreiben
- passend zu den Geschäftsprozessen, Fachaufgaben und Organisationsstrukturen einer Institution
- Allgemein anerkannten Standards zu genügen
- Best Practice
Umsetzung
Umsetzung eines ISMS nach ISO 27001
- Theoretisch
- Praktisch
- Zertifizierung
