topic - Kurzbeschreibung

Beschreibung

Geschäftsprozess definieren

Trigger

Vorarbeiten

Realisierungsplan enthält Maßnahmen des Sicherheitskonzepts

Bis wann werden Maßnahmen von wem wie umgesetzt
Erforderliche Ressourcen
Zwischentermine
Begleitende Maßnahmen

Regelmäßige Kontrollen

Sicherstellen, dass alles wie geplant umgesetzt ist und funktioniert

Stetiger Prozess

Informationssicherheit ist kein einmalig herzustellender und anschließend stabiler Zustand, sondern ein stetiger Prozess, der immer wieder an sich wandelnde und neue Herausforderungen angepasst werden muss.

Angemessenheit und Wirksamkeit der technischen und organisatorischen Maßnahmen für Informationssicherheit in Ihrer Institution kontinuierlich überwachen und verbessern

Umsetzungsstand der im Sicherheitskonzept vorgesehenen Maßnahmen prüfen
Vorgehen bei der Überprüfung der Wirksamkeit von Maßnahmen
Erkenntnisse der Prüfungen in Maßnahmen zur Verbesserung Ihres Informationssicherheitsmanagements überführen
Kennzahlen können bei der Bewertung einzelner Aspekte der Informationssicherheit helfen
Reifegradmodell nutzen
Sicherheitsniveau nachweisen (27001-Zertifikat auf Basis von IT-Grundschutz)

Leitfragen

Leitfragen für die Überprüfung

Um sicherzustellen, dass die Maßnahmen des Sicherheitskonzepts immer den Anforderungen entsprechen, müssen sie kontinuierlich überprüft werden.

Überprüfungen sollten sich an folgenden Leitfragen orientieren

Welche Ziele der Informationssicherheit sind aktuell vordringlich?

Die Bedeutung von Sicherheitszielen kann sich im Zeitablauf verändern.
So kann es wichtiger werden, die Vertraulichkeit von Informationen zu schützen, wenn sich gesetzliche Rahmenbedingungen ändern oder aber die Institution mit Daten arbeitet, die dies verstärkt erfordern.
Alle Maßnahmen zur Erhaltung der Vertraulichkeit müssen daher besonders sorgfältig geprüft werden.
Eine weitere wichtige Frage ist, ob die gewählten Sicherheitsmaßnahmen noch der Gefährdungslage entsprechen.
Auch ist zu prüfen, ob neue technische Verfahren einen effizienteren und wirksameren Schutz bieten können.

Wer ist verantwortlich für die Überwachung des Informationssicherheitsprozesses?

Häufig ist die Institution so komplex, dass der nicht alle Überprüfungen leiten und durchführen kann.
Dann ist es wichtig, dass für verschiedene Bereiche Personen benannt sind, die diese Maßnahmen konzipieren, umsetzen, Ergebnisse dokumentieren sowie Verbesserungen planen und steuern.
Bei einer solchen verteilten Verantwortung ist eine gute Zusammenarbeit mit dem wichtig, der über alle Schritte informiert werden muss.

Wie häufig sind die Verfahren zu überprüfen?

Für weniger wichtige Schutzmechanismen kann eine Überprüfung seltener erfolgen als für kritische Prozesse.
Mindestens einmal pro Jahr muss das Sicherheitskonzept darauf überprüft werden, ob es noch effektiv ist, also den Zielen der Informationssicherheit im Unternehmen oder der Behörde entspricht.
Wenn es einen Sicherheitsvorfall gegeben hat, sollte dies Anlass für eine zusätzliche Prüfung sein.

Umsetzungshinweise

ISMS.1.M11: Aufrechterhaltung der Informationssicherheit

Empfehlungen zur Vorgehensweise bei der Überprüfung des Sicherheitsprozesses

Überprüfungsverfahren

Es gibt eine Reihe von bewährten Verfahren

Effizienz und Effektivität der Vorkehrungen

Informationssicherheit prüfen

Abarbeitung einfacher Checklisten
Punktuelle Prüfung der Netzsicherheit mittels Penetrationstests
Umfassenden Prüfung
- Angemessenheit und Wirksamkeit
- der Umgesetzten
- technischen und organisatorischen Schutzmaßnahmen

Regelmäßigen Intervalle

Grundsätzlich gilt, dass umfassende Prüfungen in regelmäßigen Intervallen (jährlich bis maximal drei Jahre) durchgeführt werden sollten.
Aber auch fallweise Prüfungen sind zweckmäßig, beispielsweise bei der Änderung von Geschäftsprozessen und insbesondere nach Sicherheitsvorfällen.

Sicherheitsvorfälle

Sicherheitsvorfälle sollten immer ein Anlass sein, die Sicherheitskonzeption zu hinterfragen.

Dies sollte offen und sorgfältig geschehen, um Schwachstellen, die einen Vorfall begünstigt haben, identifizieren und beseitigen zu können.

Zweckmäßige Verfahren

Zwei zweckmäßige Verfahren, mit den Sie Ihr Sicherheitskonzept und das erreichte Schutzniveau prüfen können, sind die -Revision und der Cyber-Sicherheits-Check:

Mit einer Informationssicherheitsrevision (-Revision) können Sie nach einem festgelegten Verfahren und von kompetenten Revisoren überprüfen lassen, ob das Sicherheitskonzept Ihrer Institution wie beabsichtigt umgesetzt ist und es nach wie vor den aktuellen Anforderungen gerecht wird.
Die -Revision liefert sowohl den Verantwortlichen für Informationssicherheit als auch der Leitung einer Institution belastbare Informationen über den aktuellen Zustand der Informationssicherheit.

Kurz-, Querschnitts- und Partialrevision

Neben einer umfassenden Prüfung, die auf die vollständige und vertiefte Überprüfung der Informationssicherheit in einer Institution abhebt, gibt es mit der Kurz-, Querschnitts- und Partialrevision Varianten, bei denen Tiefe und Umfang der Prüfung begrenzt sind.

Cyber-Sicherheits-Check

Wenn Sie noch wenig Erfahrung mit diesem Thema haben, kann der Cyber-Sicherheits-Check eine wichtige Hilfe bei der Überprüfung des Sicherheitsniveaus Ihrer Institution sein.

Er gibt ihnen Hinweise zur Anfälligkeit gegen Cyberangriffe und ist so angelegt, dass die regelmäßige Durchführung das Risiko verringert, zum Opfer solcher Angriffe zu werden.

Vorgehensmodell IT-Revision

Für die Durchführung der IT-Revision hat das BSI ein eigenes Vorgehensmodell entwickelt, das im Leitfaden -Revision beschrieben ist.

Dort erfahren Sie auch mehr zu Prüfumfang und -tiefe sowie Einsatzzweck der unterschiedlichen Varianten des Verfahrens.

IT-Grundschutz-Zertifizierung

Allgemein anerkannte Zertifikate setzen Maßstäbe und schaffen Vertrauen

Auch im Bereich der Informationssicherheit sind verlässliche Standards wünschenswert, die den Anwendern Orientierung zur Sicherheit von Produkten, Systemen und Verfahren bieten.
Daher gibt es bereits seit vielen Jahren international anerkannte Kriterienwerke, auf deren Grundlage die Sicherheitseigenschaften von Produkten und Systemen durch unabhängige Zertifizierungsstellen bestätigt werden können.

Das 27001-Zertifikat auf Basis von -Grundschutz belegt in besonderer Weise das Bemühen um Informationssicherheit, da Grundlage für die Vergabe nicht nur die Erfüllung der allgemeinen Anforderungen der Norm 27001 an das Sicherheitsmanagement ist, sondern auch die nachgewiesene Umsetzung der wesentlich konkreteren Anforderungen des -Grundschutzes.

Die Zertifizierung des Managements für Informationssicherheit kann für unterschiedliche Zielgruppen interessant sein, zum Beispiel für

Anbieter im E-Commerce oder E-Government, die verdeutlichen wollen, dass sie sorgfältig und sicherheitsbewusst mit den Daten der Kunden und Bürger umgehen,
IT-Dienstleister, die mit einem allgemein anerkannten Maßstab die Sicherheit ihrer Dienstleistungen belegen wollen,
Unternehmen und Behörden, die mit anderen Einrichtungen kooperieren wollen und Informationen über deren Sicherheitsniveau wünschen.

Ein Zertifizierungsverfahren wirkt aber auch nach innen: Es trägt dazu bei, das Bewusstsein der Mitarbeiter für die Notwendigkeit von Informationssicherheit zu stärken, und erleichtert dadurch die Umsetzung erforderlicher Sicherheitsmaßnahmen.

Zertifizierungsprozess

Voraussetzung für die Vergabe eines ISO 27001-Zertifikats auf Basis von -Grundschutz ist der Nachweis, dass ein den Anforderungen der Norm entsprechendes Informationssicherheitsmanagement eingerichtet ist und die -Grundschutz-Anforderungen wirksam erfüllt sind.

Gegenstand der Zertifizierung muss dabei nicht die gesamte Institution sein.
Der betrachtete Informationsverbund kann sich auch auf einzelne Geschäftsprozesse, Fachaufgaben oder Organisationseinheiten beschränken.
Diese müssen jedoch sinnvoll abgegrenzt sein und eine gewisse Mindestgröße haben.

Die folgende Abbildung veranschaulicht den Zertifizierungsprozess:

"ISO 27001-Zerifizierung auf Basis von IT-Grundschutz - Zertifizierungsprozess"

Für den Nachweis, dass die Anforderungen erfüllt sind, ist ein Audit durch einen unabhängigen, vom anerkannten Auditor erforderlich.

Jedes Audit setzt sich grundsätzlich aus zwei getrennten, aufeinander aufbauenden Phasen zusammen:
Phase 1 umfasst eine Dokumentenprüfung der so genannten Referenzdokumente des Antragstellers.
Dazu zählen neben den geltenden Sicherheitsrichtlinien (Leitlinie zur Informationssicherheit, Richtlinien zur Risikoanalyse, Richtlinie zur internen -Auditierung) und dem Risikobehandlungsplan insbesondere auch die Ergebnisdokumente der verschiedenen Phasen der Sicherheitskonzeption (Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, -Grundschutz-Check, Risikoanalyse, Realisierungsplanung).
In Phase 2 folgt die Umsetzungsprüfung durch den Auditor, bei der die Vollständigkeit, Korrektheit, und Wirksamkeit der in den Referenzdokumenten beschriebenen Maßnahmen sowie deren Konformität zu den Anforderungen von 27001 und -Grundschutz im Fokus stehen.

Ein Zertifikat wird nur erteilt, wenn der Auditbericht ein positives Gesamtvotum aufweist und durch die Zertifizierungsstelle akzeptiert wurde.

Im Rahmen einer Prüfbegleitung wird der Auditbericht gegen die Vorgaben des vom veröffentlichen Zertifizierungsschemas geprüft.

Ein erteiltes Zertifikat ist drei Jahre lang gültig und muss in diesem Zeitraum durch ein jährliches Überwachungsaudit bestätigt werden.

Das der 27001-Zertifizierung auf Basis von -Grundschutz zugrunde liegende Zertifizierungsschema, Hinweise zu den erforderlichen Referenzdokumenten und alle weiteren wichtigen Informationen zum Thema finden Sie in einem eigenen Unterthema gebündelt auf der Website des .

Prüfergebnisse

Behandlung der Prüfergebnisse

Die Ergebnisse aller Überprüfungen müssen dokumentiert und der Leitung mitgeteilt werden.

Diese benötigt insbesondere Informationen über den Stand der Umsetzung, Erfolge und auch Probleme sowie Risiken aufgrund von Umsetzungsmängeln.
Bei Abweichungen von der Planung müssen Vorschläge erarbeitet werden, wie diese anzupassen oder die Umsetzung zu korrigieren ist.
Gleiches gilt für Vorschläge zur Verbesserung und Weiterentwicklung der Sicherheitsmaßnahmen.
Alle Entscheidungen hierzu, auch die Übernahme von Risiken durch eine verzögerte Umsetzung von Maßnahmen, müssen dokumentiert werden.

Standard-Anforderungen, die Berichte an die Leitungsebene erfüllen SOLLTEN, werden im Baustein ISMS.1 Sicherheitsmanagement des -Grundschutz-Kompendiums unter ISMS.1.A12 Management-Berichte zur Informationssicherheit beschrieben.

Bewertung

Kennzahlen

Kennzahlen können als Indikator für die Güte des gesamten Sicherheitsprozesses oder einzelner Teilprozesse und -aspekte dienen.

Sie sind ein bewährtes Instrument in der Kommunikation mit der Leitung einer Institution über Erfolge, aber auch Probleme der Informationssicherheit.

Die folgende Tabelle enthält für verschiedene Schichten des -Grundschutz-Kompendiums ein Beispiel für eine mögliche Kennzahl.

Diese Beispiele zeigen auch, dass mit Kennzahlen sowohl technische als auch organisatorische Aspekte der Informationssicherheit erfasst werden können.

Kennzahlen zur Informationssicherheit

Baustein	Anforderung	Kennzahl
ISMS.1 Sicherheitsmanagement	Die Leitungsebene SOLLTE regelmäßig über den Stand der Informationssicherheit informiert werden.	Anzahl der Leitungsmeetings mit Sicherheitsreport / Anzahl aller Leitungsmeetings
ORP.2 Personal	Aufgaben und Zuständigkeiten von Mitarbeitern SOLLTEN in geeigneter Weise dokumentiert sein.	Anzahl der Mitarbeiterverträge mit Verpflichtung zur sicheren Handhabung von Informationen / Anzahl aller Mitarbeiterverträge
CON.3 Datensicherungskonzept	Die Datensicherung und ein möglicherweise vorzunehmender Restore SOLLTEN regelmäßig getestet werden.	Anzahl erfolgreicher Tests / Gesamtzahl der Tests zur Wiederherstellung gesicherter Daten
OPS.1.1.2 Ordnungsgemäße IT-Administration	Die Befugnisse, Aufgaben und Pflichten der -Administratoren SOLLTEN in einer Arbeitsanweisung oder Richtlinie verbindlich festgeschrieben werden.	Anzahl von Arbeitsanweisungen / Anzahl aller Administratoren
DER.1 Detektion von sicherheitsrelevanten Ereignissen	Die gesammelten Ereignismeldungen der -Systeme und Anwendungssysteme SOLLTEN auf einer zentralen Protokollinfrastruktur aufbewahrt werden.	Anzahl zentral gesammelter Ereignismeldungen / Anzahl aller Ereignismeldungen
APP.1.1 Office-Produkte	Neue Office-Produkte SOLLTEN vor dem Einsatz auf Kompatibilität mit etablierten Arbeitsmitteln getestet werden.	Anzahl der eingesetzten getesteten Office-Produkte / Anzahl aller eingesetzten Office-Produkte
SYS.1.1 Allgemeiner Server	Ablauf, Rahmenbedingungen und Anforderungen an administrative Aufgaben sowie die Aufgabentrennungen zwischen den verschiedenen Rollen der Benutzer des -Systems SOLLTEN in einem Benutzer- und Administrationskonzept festgeschrieben werden.	Anzahl von Servern mit detailliertem Administrationskonzept / Anzahl aller Server

Diese Beispiele verdeutlichen, dass für eine umfassende Bewertung der Informationssicherheit eine Vielzahl an Kennzahlen nötig ist.

Erhebung, Berechnung und Aufbereitung der Kennzahlen erfordern unter Umständen einen sehr hohen Aufwand, wobei technische Kennzahlen oft automatisiert erhoben werden können und damit der bei ihnen anfallende Aufwand meist geringer ist als bei organisatorischen Kennzahlen.

Damit der Aufwand in einem angemessenen Verhältnis zum Ergebnis steht, ist es wichtig, dass die Ziele der Kennzahlen klar formuliert und der erforderliche Aufwand für die Erhebung der Messwerte gut abgeschätzt werden.

Wenn Sie planen, in Ihrer Institution Kennzahlen zur Informationssicherheit einzuführen, empfiehlt es sich, zunächst mit wenigen Kennzahlen zu starten und diese dann mit Hilfe der gewonnenen Erfahrungen Schritt für Schritt zu ergänzen.

Reifegradmodelle

Qualität des Informationssicherheitsprozesses

Bewertung mithilfe von Reifegraden
Hierzu muss das über Jahre hinweg analysiert und bewertet werden.
Der Maßstab für die „Reife“ des gesamten oder aber auch von Teilen hiervon ist der Grad der Strukturierung und der systematischen Steuerung des Prozesses.

Beispiel für die Definition von Reifegraden:

Reifegrade und ihre Merkmale

Reifegrad	Kennzeichen
0	Es existiert kein Prozess, es gibt auch keine Planungen hierzu.
1	Es gibt Planungen zur Etablierung eines Prozesses, jedoch keine Umsetzungen.
2	Teile des Prozesses sind umgesetzt, es fehlt jedoch an systematischer Dokumentation.
3	Der Prozess ist vollständig umgesetzt und dokumentiert.
4	Der Prozess wird darüber hinaus auch regelmäßig auf Effektivität überprüft.
5	Zusätzlich sind Maßnahmen zur kontinuierlichen Verbesserung vorhanden.

Ziel der Anwendung eines Reifegradmodells ist es, die Qualität aller Teilbereiche des zu erhöhen

Durch regelmäßige Analysen können Sie überprüfen, welche Prozesse noch unzureichend gesteuert sind.
Die folgende Grafik stellt beispielhaft die erreichten Reifegrade verschiedener Themenfelder in einer Institution dar.
Dort wo der Reifegrad niedrig ist, besteht ein besonderer Handlungsbedarf.
Reifegradmodelle können folglich dabei unterstützen, Schwerpunkte für die Weiterentwicklung eines zu setzen.

Anhang

Siehe auch

IT-Grundschutz/Verbesserungsprozess

Sicherheit

Dokumentation

Links

Projekt

Weblinks

TMP

Überprüfung des Informationssicherheitsprozesses

Überprüfung des Informationssicherheitsprozesses ist unabdingbar

Fehler und Schwachstellen erkennen und abstellen
Effizienz des IS-Prozesses optimieren

Verbesserung der Praxistauglichkeit

Strategie
Maßnahmen
Organisatorische Abläufe

Methoden zur Überprüfung des Informationssicherheitsprozesses

Zur Effizienzprüfung und Verbesserung sollten Verfahren und Mechanismen eingerichtet werden

Realisierung der beschlossenen Maßnahmen prüfen
deren Wirksamkeit und Effizienz überprüfen

Informationssicherheitsstrategie sollte Leitaussagen zur Messung der Zielerreichung machen

Grundlagen für Messungen

Detektion, Dokumentation und Auswertung von Sicherheitsvorfällen
Durchführung von Übungen und Tests zur Simulation von Sicherheitsvorfällen
- Auswertung der Ergebnisse
interne und externe Audits, Datenschutzkontrollen
Zertifizierung nach festgelegten Sicherheitskriterien

Internen Audits zur Erfolgskontrolle der umgesetzten Maßnahmen

nicht durch denjenigen durchführen, der die Sicherheitskonzeption entwickelt hat
Externe Experten mit der Durchführung solcher Prüfungsaktivitäten beauftragen

Aufwand von Audits

hängt von der Komplexität und Größe des Informationsverbunds ab
Anforderungen auch für kleine Institutionen sehr gut umzusetzen

In kleinen Institutionen eventuell ausreichend

jährlicher technischer Check von IT-Systemen
vorhandene Dokumentationen auf Aktualität prüfen
Probleme und Erfahrungen mit dem Sicherheitskonzept in Workshop besprechen

BSI-Standards
Vorüberlegungen zur Messbarkeit
Vorgehensweisen
Bestimmung des Reifegrads
Vorgehensweisen
Bewertung des Reifegrads

Überprüfung der Umsetzung der Sicherheitsmaßnahmen

Anhand der Aufgabenliste und der zeitlichen Planung im Realisierungsplan

ob und inwieweit wurden dieser eingehalten

Angemessene Ressourcenplanung

Voraussetzung für die Einhaltung der geplanten Sicherheitsmaßnahmen
Wurden ausreichende finanzielle und personelle Ressourcen zur Verfügung gestellt?

Die Überprüfung dient auch

rechtzeitiger Wahrnehmung von Planungsfehlern
Anpassung der Sicherheitsstrategie, wenn sich diese als unrealistisch erweist

Nach Einführung neuer Sicherheitsmaßnahmen

Akzeptanz bei Nutzern prüfen
- Werden neuen Maßnahmen nicht akzeptiert, ist ein Misserfolg vorprogrammiert
- Ursachen herauszuarbeiten und abstellen
- Oft reicht eine zusätzliche Aufklärung der Betroffenen
- Alternativen sollten geprüft werden

Sicherheitsrevision

Revision der Informationssicherheit anhand der IT-Grundschutz-Sicherheitsmaßnahmen

Gleiche Vorgehensweise wie beim Basis-Sicherheitscheck

Arbeitsökonomisch: Angepasste Checkliste erstellen

für jeden Baustein der IT-Grundschutz-Kataloge
anhand der Maßnahmentexte
erleichtert die Revision
verbessert die Reproduzierbarkeit der Ergebnisse

Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz

Zertifizierung ist eine weitere Methode zur Prüfung

Erreichung der Sicherheitsziele
die Umsetzung der Sicherheitsmaßnahmen

Hierbei begutachten qualifizierte unabhängige Stellen

das Management von Informationssicherheit
die Umsetzung von Informationssicherheit

Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz liefert Auditergebnisse

nachvollziehbar
wiederholbar
vergleichbar

Dokumentation

ISO 27001 als auch IT-Grundschutz in der erforderlichen Tiefe umgesetzt

Eignung der Informationssicherheitsstrategie

Um den Informationssicherheitsprozess erfolgreich steuern und lenken zu können,

muss die Leitungsebene einen Überblick darüber haben,
inwieweit die Sicherheitsziele mithilfe der
eingesetzten Sicherheitsstrategie tatsächlich erreicht werden konnten.

Aktualität von Sicherheitszielen

Rahmenbedingungen und Sicherheitskonzeption

In längeren Perspektiven prüfen

gesetzte Sicherheitsziele
Rahmenbedingungen

Anpassung der Sicherheitsleitlinie und der Sicherheitsstrategie

in schnelllebigen Branchen von elementarer Bedeutung
Betriebliche Änderungen schon bei ihrer Planungsphase in die Sicherheitskonzeption einbeziehen
Einsatz neuer IT-Systeme
Umzug
organisatorische Änderungen (z. B. Outsourcing)
Änderungen gesetzlicher Anforderungen

Nach jeder relevanten Änderung aktualisieren

Sicherheitskonzeption
dazugehörigen Dokumentation

Im Änderungsprozess der Institution berücksichtigen

Informationssicherheitsprozess in das Änderungsmanagement der Institution integrieren

Wirtschaftlichkeitsbetrachtung

Wirtschaftlichkeit sollte unter konstanter Beobachtung bleiben

Sicherheitsstrategie
spezifische Sicherheitsmaßnahmen

Kosten für Informationssicherheit sind schwer zu ermitteln

oft hilfreich, für die weitere Planung: Prüfen, ob
- tatsächlich angefallene Kosten den geplanten entsprechen
- ressourcenschonendere Sicherheitsmaßnahmen eingesetzt werden können

Ebenso wichtig

regelmäßig den Nutzen der vorhandenen Sicherheitsmaßnahmen herausarbeiten

Rückmeldungen von Internen und Externen

Rückmeldungen über Fehler und Schwachstellen in den Prozessen

Informationssicherheitsorganisation
Revision

auch von

Mitarbeitern
Geschäftspartnern
Kunden oder Partnern

Wirksame Vorgehensweise festlegen

Beschwerden und anderen Rückmeldungen von Internen und Externen verwerten

Beschwerden

von Kunden oder Mitarbeitern können dabei ein Indikator für Unzufriedenheit sein

Bereits entstehender Unzufriedenheit entgegenwirken!

bei unzufriedenen Mitarbeitern/Kunden
Gefahr von Handlungen die den Betrieb stören können
- fahrlässig
- vorsätzlich

Rückmeldungen von Internen und Externen

Umgang mit Beschwerden

klar definiertes Verfahren
eindeutig festgelegte Kompetenzen
für den Umgang mit Beschwerden und für die Rückmeldung von Problemen an die zuständige Instanz

Beschwerden schnellstmöglich beantworten

damit die Hinweisgeber sich ernst genommen fühlen

Gemeldeten Probleme bewerten

Handlungsbedarf eingeschätzten
angemessene Korrekturmaßnahmen zur Beseitigung der Ursachen von Fehlern ergreifen
erneutes Auftreten verhindern

Übernahme der Ergebnisse in den Informationssicherheitsprozess

Ergebnisse der Erfolgskontrolle notwendig für Verbesserung des IS-Prozesses

Es kann sich herausstellen, dass

Sicherheitsziele,
Sicherheitsstrategie oder
Sicherheitskonzept

geändert und die Sicherheitsorganisation angepasst werden sollten.

Unter Umständen sinnvoll

grundlegende Änderungen an der IT-Umgebung
Geschäftsprozesse verändern
- z. B. wenn Sicherheitsziele unter den bisherigen Rahmenbedingungen nicht oder
- nur umständlich (also mit hohem finanziellen oder personellen Aufwand)
erreicht werden können.

Management-Kreislauf schließt sich

größere Veränderungen vorgenommen und umfangreiche Verbesserungen
neue Planungsphase beginnen

Überprüfungen von geeigneten Personen durchführen lassen

Kompetenz
Unabhängigkeit

Vollständigkeits- und Plausibilitätskontrollen

sollten nicht durch die Ersteller der Konzepte durchgeführt werden.

Vorgehensweise zur Überprüfung und Verbesserung

in Richtlinie dokumentieren
von der Leitungsebene verabschieden lassen

In der Richtlinie zur Überprüfung und Verbesserung sollte geregelt werden,

wie interne Audits im Bereich der Informationssicherheit durchzuführen sind und
wie die Ergebnisse in den Änderungsprozess einfließen.

Prüfergebnisse und -berichte sind

im Allgemeinen als hochvertraulich zu betrachten und
müssen besonders gut geschützt werden.

Überprüfung des Informationssicherheitsprozesses - Aktionspunkte

Vorgehensweise in einer Richtlinie dokumentieren und der Leitungsebene zur Verabschiedung vorlegen
Messung der Zielerreichung in die Sicherheitsstrategie integrieren
Einhaltung des Realisierungsplans prüfen
Realisierung der beschlossenen Maßnahmen überprüfen
Wirksamkeit und Effizienz der beschlossenen Maßnahmen überprüfen
Prüfen, ob die Sicherheitsmaßnahmen akzeptiert werden und gegebenenfalls nachbessern
Rollenkonflikt zwischen Ersteller und Prüfer beachten
Vertraulichkeit der Untersuchungsergebnisse sicherstellen
Eignung und Aktualität von Sicherheitszielen, -strategien und -konzeption prüfen
Angemessenheit der bereitgestellten Ressourcen und die Wirtschaftlichkeit der Sicherheitsstrategie und -maßnahmen überprüfen
Ergebnisse der Überprüfungen in Form von Verbesserungen in den Informationssicherheitsprozess einfließen lassen

Informationsfluss

Informationsfluss im Informationssicherheitsprozess

Im Rahmen der Überprüfung und Verbesserung entstehen

Berichte
Audit-Reports
Ergebnisse von Sicherheitstests
Meldungen über sicherheitsrelevante Ereignisse
weitere Dokumente zur Informationssicherheit

Dokumente müssen

aussagekräftig
für die jeweilige Zielgruppe verständlich sein

Nicht alle Informationen sind für die Leitungsebene geeignet

es ist eine Aufgabe des IT-Sicherheitsmanagements, diese Informationen
- zu sammeln
- zu verarbeiten
- kurz und übersichtlich aufzubereiten

Berichte an die Leitungsebene

Leitung benötigt Eckpunkte über den Stand der Informationssicherheit

richtige Entscheidungen bei der Steuerung und Lenkung des Informationssicherheitsprozesses Eckpunkte in Management-Berichten aufbereiten
Ergebnisse von Audits und Datenschutzkontrollen
Berichte über Sicherheitsvorfälle
Berichte über bisherige Erfolge und Probleme beim Informationssicherheitsprozess IS-Organisation informiert Leitungsebene regelmäßig in angemessener Form
Ergebnisse der Überprüfungen
Status des IS-Prozesses
Probleme
Erfolge
Verbesserungsmöglichkeiten

Leitungsebene nimmt Management-Berichte zur Kenntnis und veranlasst notwendige Maßnahmen

Berichte an die Leitungsebene

Dokumentation im Informationssicherheitsprozess

Entscheidend für Erfolg

Dokumentation des IS-Prozesses auf allen Ebenen

Nur durch ausreichende Dokumentation

werden getroffene Entscheidungen nachvollziehbar
sind Prozesse wiederholbar und standardisierbar
können Schwächen und Fehler erkannt und zukünftig vermieden werden

Abhängig vom Gegenstand und vom Verwendungszweck der Dokumentation

Technische Dokumentation und Dokumentation von Arbeitsabläufen
Anleitungen für Mitarbeiter
Aufzeichnung von Management-Entscheidungen
Gesetze und Regelungen

Technische Dokumentation Arbeitsabläufen
Zielgruppe: Experten

Aktuellen Stand beschreiben

Geschäftsprozessen
damit verbundener IT-Systeme und Anwendungen

Detaillierungsgrad technischer Dokumentationen

andere Personen mit vergleichbarer Expertise sollen die Dokumentation nachvollziehen können
Ein Administrator soll zwar auf sein Wissen, aber nicht auf sein Gedächtnis angewiesen sein, um die Systeme und Anwendungen wiederherzustellen

Dazu gehörten z.B.

Installations- und Konfigurationsanleitungen
Anleitungen für den Wiederanlauf nach einem Sicherheitsvorfall
Dokumentation von Test- und Freigabeverfahren
Anweisungen für das Verhalten bei Störungen und Sicherheitsvorfällen

Bei Sicherheitsübungen und bei Behandlung von Sicherheitsvorfällen

Qualität der vorhandenen Dokumentationen bewerten
gewonnene Erkenntnisse zur Verbesserung nutzen

Anleitungen für Mitarbeiter

Zielgruppe: Mitarbeiter

Sicherheitsmaßnahmen in Form von Richtlinien dokumentieren

für die Mitarbeiter verständlich

Mitarbeiter müssen informiert und geschult sein

Existenz und Bedeutung dieser Richtlinien

Dazu gehört

Arbeitsabläufe und organisatorische Vorgaben
Richtlinien zur Nutzung des Internets
Verhalten bei Sicherheitsvorfällen

Entscheidungen aufzeichnen

Informationssicherheitsprozess
Sicherheitsstrategie
jederzeit verfügbar
nachvollziehbar
wiederholbar

Gesetze und Regelungen

Zielgruppe: Leitungsebene

Für Informationsverarbeitung sind viele unterschiedliche relevant

Gesetze
Regelungen
Anweisungen
Verträge

Besondere Anforderungen sollten dokumentiert werden

welche konkreten Konsequenzen ergeben sich daraus
- Geschäftsprozesse
- IT-Betrieb
- Informationssicherheit

Aktuellen Stand der Dokumentationen sicherstellen

Dafür muss die Dokumentation in den Änderungsprozess einbezogen werden

Informationsfluss und Meldewege

Richtlinie zum Informationsfluss und Meldewegen

dokumentiert grundsätzliche Festlegungen
zwischen Hol- und Bringschuld unterscheiden
- Kommunikationsplan erstellen
- Wer? Wem? Was? Wann? Bis wann? Form? Feedback bis?
von der Leitungsebene verabschieden lassen

Aktualisierung der Meldewege

Festlegungen für den Informationsfluss
zeitnahe Aktualisierung von elementarer Bedeutung für die Aufrechterhaltung des Informationssicherheitsprozesses Verbesserung des Informationsflusses
Ergebnisse aus Übungen, Tests und Audits sind nützliche Grundlage für die Verbesserung des Informationsflusses

Synergieeffekten für den Informationsfluss

Oft sind bereits Prozesse für den IT-Support definiert Synergieeffekte nutzen

Meldewege für IT-Sicherheitsvorfälle können in den IT-Support integriert werden
die Kapazitätsplanung um Aspekte der Notfallvorsorge erweitert werden.
Viele Informationen, die aus Sicherheitsgründen erhoben werden, können auch zu anderen Zwecken genutzt werden Sicherheitsmaßnahmen haben positive Nebeneffekte
besonders Optimierung von Prozessen ist für viele Bereiche relevant
- Bestimmung von Informationseigentümern
- Einstufung von Informationen nach einheitlichen Bewertungskriterien Überblick über die Abhängigkeit
der Geschäftsprozesse von IT-Systemen und Anwendungen
ist nicht nur für das Sicherheitsmanagement sinnvoll
exakte Zuordnung von IT-Kosten, auf einzelne Geschäftsprozesse

Aktionspunkte Informationsfluss

Festlegungen zum Informationsfluss und zu den Meldewegen in einer Richtlinie dokumentieren und der Leitungsebene zur Verabschiedung vorlegen
Leitungsebene über die Ergebnisse von Überprüfungen und den Status des Informationssicherheitsprozesses informieren
Entscheidungen über erforderliche Korrekturmaßnahmen einholen
Alle Teilaspekte des gesamten Informationssicherheitsprozesses nachvollziehbar dokumentieren und die Dokumentation auf dem aktuellen Stand halten
Die Qualität der Dokumentation bewerten und nachbessern oder aktualisieren
Meldewege auf dem aktuellen Stand halten
Synergien zwischen dem Informationssicherheitsprozess und anderen Managementprozessen ausfindig machen