ISMS/Standard
Normen und Standards im Überblick
Beschreibung
Der Aufwand für die Sicherung der IT-Ressourcen in einem Unternehmen kann mitunter sehr hoch sein, da traditionellerweise zuerst eine Analyse der vorhandenen schützenswerten Objekte (Assets) und eine Risiko- und Bedrohungsanalyse erfolgen muss.
- Danach werden die notwendigen Sicherheitsmaßnahmen ausgewählt, die zum Schutz der jeweiligen Assets für nötig erachtet werden.
- Um den Zeit- und Arbeitsaufwand für die Sicherung reduzieren zu können und unternommene Sicherheitsbemühungen besser vergleichen zu können, werden in der Praxis oft Kriterienkataloge angewandt, die den Sicherheitsverantwortlichen bei seiner Arbeit unterstützen.
- Die verschiedenen Kriterienwerke haben aber eine unterschiedliche Auslegung bezüglich der Anwendung, der verwendeten Methoden und der betrachteten Problemstellungen.
- Wichtige Kriterienwerke
- IT-Grundschutz-Kompendium
- BSI-Standard 200
- ISO/IEC 13335
- ISO/IEC 19790
- ISO/IEC 2700X
- Common Criteria/ITSEC/ISO/IEC 15408
- ISO 9000
- COBIT
- ITIL
- DIN EN 50600
Nutzen von Standards
- Zweck und Struktur relevanter Normen und Richtlinien
| Option | Beschreibung |
|---|---|
| Kostensenkung |
|
| Angemessenes Sicherheitsniveau |
|
| Wettbewerbsvorteile |
|
Arten von Normen und Standards
- Standards zur Informationssicherheit im Überblick
Beispiele für Normen und Standards
Verbindlichkeit
Modalverben - beschreiben die Verbindlichkeit einer Anforderung
- Beschreibung
- MUSS und SOLL
| Ausdruck | Verbindlichkeit |
|---|---|
| MUSS, DARF NUR | Anforderung muss unbedingt erfüllt werden |
| DARF NICHT, DARF KEIN | Darf in keinem Fall getan werden |
| SOLLTE | Anforderung ist normalerweise zu erfüllt (MUSS, wenn kann). Abweichung in stichhaltig begründeten Fällen möglich. |
| SOLLTE NICHT, SOLLTE KEIN | Dieser Ausdruck bedeutet, dass etwas normalerweise nicht getan werden darf, bei stichhaltigen Gründen aber trotzdem erfolgen kann. |
| Ausdruck | Verbindlichkeit |
|---|---|
| MUST, MUST NOT, SHALL, SHALL NOT | Anforderung muss zwingend eingehalten werden |
| SHOULD, SHOULD NOT, RECOMMENDED, NOT RECOMMENDED | Empfohlene Anforderung, Abweichung in Begründeten Einelfällen möglich. |
| MAY, OPTIONAL | Anforderung liegt im Ermessen des Herstellers |
ISO/IEC Standards
ISO/IEC 27000 - Informationstechnik - Sicherheitsverfahren - Informationssicherheits-Managementsysteme - Überblick und Terminologie
Beschreibung
- Informativer Standard
- Einführung in ISO 27000 ff.
- Definition relevanter Begriffe
- Beschreibt Begriffe nicht abschließend
- Nicht alle Begriffe der ISO 27000 ff.
- Umsetzung des ISMS
- Grundsätze
- Generelle Aussagen zur Anwendung, Bedeutung und Wirkung der ISO 27000 ff.
- Aufzählung der wesentlichen Schritte für die Umsetzung des ISMS
- ISO/IEC 2700X/270XX
- Internationale Standard Familie
- Baut auf ISO 17799 und dem British Standard BS 7799 auf
- Diese Standards unterliegen häufigen Änderungen
- Über 20 Normen zu Informationssicherheit
- Best-Practice-Lösungen
- Kriterienkataloge
- Aspekte
| Regeln und Richtlinien zur Informationssicherheit | |
| Organisation von Sicherheitsmaßnahmen und Managementprozessen | |
| Personelle Sicherheit | |
| Asset-Management | |
| Physikalische Sicherheit und Zugangsdienste | |
| Zugriffskontrolle (Access Control) | |
| Umgang mit sicherheitstechnischen Vorfällen | |
| Systementwicklung und deren Wartung | |
| Planung einer Notfallvorsorge | |
| Einhaltung gesetzlicher Vorgaben | |
| Überprüfung durch Audits |
- Standards zur Informationssicherheit
- International Organization for Standardization (ISO)
- International Electrotechnical Commission (IEC)
- Zusammenarbeit von ISO und IEC
- Standards zur Informationssicherheit unter dem Nummernkreis 2700x Information technology – Security techniques zusammengefasst
- Der deutsche Anteil an dieser Normungsarbeit wird vom DIN NIA-01-27 IT-Sicherheitsverfahren betreut
- Für die Evaluierung und Zertifizierung von IT-Produkten und -systemen existiert der Standard ISO/IEC 15408 (Common Criteria).
- ISMS
- Information Security Management System
- Best-Practice-Empfehlungen zur Organisation der Informationssicherheit
Übersicht
- ISO/IEC 27000
| Scope | Geltungsbereich |
| Asset | Wert/Schutzobjekt |
| SOA | Statement of Applicability |
| RTP | Risk Treatment Plan |
| BCP | Business Continuity-Plan |
| Logs | Log Files |
Normen
Informationssicherheits-Managementsysteme (2700X)
| ISO/IEC | Beschreibung | |
|---|---|---|
| 27000 | Übersicht und Vokabular | Begriffe und Definitionen |
| 27001 | Anforderungen | Anforderungen an ein ISMS |
| 27002 | Code of practice | Kontrollmechanismen für Informationssicherheit |
| 27003 | Implementation Guidelines | Leitfaden zur Umsetzung der ISO/IEC 27001 |
| 27004 | Measurements | Information Security Management Measurement |
| 27005 | Information security risk management | IS-Risikomanagement |
| 27006 | Informationstechnik - Sicherheitstechniken - Anforderungen | Kriterien der Auditierung und Zertifizierung |
| 27007 | Informationstechnik - Sicherheitstechniken - Leitfaden | Leitfaden für die Auditierung |
| 27008 | Informationstechnik - Sicherheitstechniken - Leitfaden für Auditoren | Kontrolle eines ISMS |
Fachspezifische Subnormen (270XX)
| ISO/IEC | Beschreibung |
|---|---|
| 27010 | Informationssicherheitsmanagement für sektor- und organisationsübergreifende Kommunikation |
| 27011 | Informationssicherheitsmanagement-Richtlinien für Telekommunikationsorganisationen |
| 27013 | Leitfaden zur integrierten Implementierung von ISO/IEC 20000-1 und ISO/IEC 27001 |
| 27014 | Governance der Informationssicherheit |
| 27015 | Information security management guidelines for financial services (zurückgezogen) |
| 27016 | Auditing und Überprüfungen |
| 27017 | Sicherheitstechniken - Verhaltenskodex
Informationssicherheitskontrollen für Cloud-Computing-Dienste |
| 27018 | Sicherheitstechniken - Verhaltenskodex
Kontrollen zum Schutz personenbezogener Daten, die in öffentlichen Cloud-Computing-Diensten verarbeitet werden |
| 27019 | Leitfaden für das Informationssicherheitsmanagement basierend auf ISO/IEC 27002 für Prozessleitsysteme speziell für die Energiewirtschaft |
| 27031 | Geschäftskontinuität |
| 27032 | Richtlinien für Cybersecurity |
| 27033 | |
| 27034 | Richtlinien für Anwendungssicherheit |
| 27035 | Management von Informationssicherheitsvorfällen |
Weitere
| ISO/IEC | Beschreibung |
|---|---|
| 15408 | |
| 22301 | |
| 27799 | Sicherheitsmanagement im Gesundheitswesen bei Verwendung der ISO/IEC 27002 |
| 31000 |
BSI-Standards
BSI-Standards - vom BSI veröffentlichte Standards
Beschreibung
| Standards | |
|---|---|
| 200-1 | Anforderungen an ein ISMS |
| 200-2 | Umsetzung der Anforderungen |
| 200-3 | Risikoanalyse |
| 200-4 | Business Continuity Management |
| Kompendium | |
| Kapitel 1 | IT-Grundschutz/Kompendium/Vorspann |
| Kapitel 2 | Schichtenmodell / Modellierung |
| Elementare Gefährdungen |
Elementare Gefährdungen |
| Schichten | Prozesse Systeme |
- IT-Grundschutz (ISMS)
- Business Continuity Management (BCMS)
- IT-Sicherheit (IT-Grundschutz/Kompendium)
Version 200
| Standard | Titel | Status | Beschreibung |
|---|---|---|---|
| 200-1 | Managementsysteme für Informationssicherheit | Standard | Information Security Management System |
| 200-2 | IT-Grundschutz-Methodik | Standard | Vorgehensweise |
| 200-3 | Risikomanagement | Standard | Risikoanalyse |
| 200-4 | Business Continuity Management | Standard | Notfallmanagement |
IT-Grundschutz-Kompendium
Das IT-Grundschutz-Kompendium hat als Ziel, durch personelle, technische, organisatorische und infrastrukturelle Maßnahmen ein Standard-Sicherheitsniveau herzustellen, das auch für Bereiche mit höheren Sicherheitsansprüchen ausbaufähig ist.
- Das IT-Grundschutz-Kompendium löst seit Oktober 2017 als Nachfolger den IT-Grundschutz-Katalog ab.
- Die aktuelle Version ist die Edition 2021.
Der IT-Grundschutz besteht aus einigen Prozess-Bausteinen, Methodiken und Hilfsmitteln, die folgende Bereiche abdecken:
Übergreifende Funktionen, Infrastruktur, IT-Systeme, Netze und Anwendungen, Sicherheitsmanagement (ISMS) Einfluss von höherer Gewalt, Mängel in der Organisation, menschliches Versagen, technische Mängel, Detektion und Reaktion Maßnahmen bezogen auf die Infrastruktur, die Organisation, das Personal, die Hard- und Software, die Kommunikation, die Vorsorge im Notfall Formulare, Mustervorlagen, Checklisten, IT-Grundschutzprofile und weitere Informationen
Für die effiziente Nutzung des IT-Grundschutzkompendiums stehen diverse Tools zur Verfügung
Weitere Normen und Standards
| Standard | Beschreibung |
|---|---|
| Common Criteria | |
| ISIS12 | |
| COBIT | |
| COSO | |
| ITIL |
Anhang
Siehe auch
Links
Weblinks
TMP
Branchenspezifische Sicherheitsstandards
IT-Grundschutz-Profile
Weitere Kriterienwerke zur IT-Sicherheit
BSI-Standards
| Standard | Beschreibung |
|---|---|
| 200-1 | Managementsysteme für Informationssicherheit (ISMS) |
| 200-2 | IT-Grundschutz-Vorgehensweise |
| 200-3 | Risikoanalyse auf der Basis von IT-Grundschutz |
| 200-4 | Notfallmanagement |
Diese Standards beinhalten grundlegende Methoden und Maßnahmen zur IT-Sicherheit
- Herausgegeben vom Bundesamt für Sicherheit in der Informationstechnik (BSI)
- Kompatible zu den OSI-Standards ISO 2700x
- Das IT-Grundschutz-Kompendium basiert auf diesen Standards.
- Durch die Möglichkeit, diese Standards zu zitieren, wird auch in methodischer Hinsicht eine Vereinheitlichung der IT-Sicherheitsbegriffe erzielt.
ISO/IEC 13335
ISO/IEC 13335 besteht aus fünf technischen Berichten.
- Diese geben Hinweise zum IT-Sicherheits-management, ohne eine bestimmte Lösung zu erzwingen.
Die Normdokumente befassen sich mit folgenden Themenbereichen:
- Konzepte und Modelle der IT-Sicherheit
- Managen und Planen von IT-Sicherheit
- Techniken für das Management von IT-Sicherheit Grundbegriffe der IT-Sicherheit Bedrohungen, Risiken, Schwachstellen Notfallvorsorge, Risikoanalyse, Sensibilisierung Gestaltung von IT-Sicherheitsprozessen Integration in bestehende Unternehmensprozesse IT-Sicherheitsorganisationen Sicherheitsprozesse verfeinern Methoden und Techniken für Sicherheitsprozesse
- Auswahl von Sicherheitsmaßnahmen
- Management Guide für Netzwerksicherheit
Schutzmaßnahmen gegen Bedrohungen Kommunikationssicherheit Netzwerktypen und Organisationen Business Continuity ISO/IEC 19790 (FIPS 140-2)
Dieser Standard beschäftigt sich mit den Anforderungen an Kryptografiemodule.
- Der vom NIST (National Institute of Standards and Technology) herausgegebene „Federal Information Processing Standard 140“ befasst sich in der Version 2 mit der Überprüfung und Validierung von kryptografischen Modulen auf Hardware- und Softwarebasis.
- FIPS 140-2 ist im Standard ISO/IEC 19790 (Security requirements for cryptographic modules) aufgegangen.
ISO/IEC 2700X
ISO/IEC 2700X ist eine Familie internationaler Standards, die u.a. auf der nicht mehr gültigen ISO 17799 und dem British Standard BS 7799 aufbaut.
Darin werden über 20 Normen definiert, in denen u. a. dem Anwender in einem Kriterienkatalog Best-Practice-Lösungen für die Informationssicherheit unter Berücksichtigung folgender Aspekte bereitgestellt werden:
Regeln und Richtlinien zur Informationssicherheit Organisation von Sicherheitsmaßnahmen und Managementprozessen Personelle Sicherheit Asset-Management Physikalische Sicherheit und Zugangsdienste Zugriffskontrolle (Access Control) Umgang mit sicherheitstechnischen Vorfällen Systementwicklung und deren Wartung Planung einer Notfallvorsorge Einhaltung gesetzlicher Vorgaben und Überprüfung durch Audits
Common Criteria/ITSEC/ISO/IEC 15408
Die Common Criteria for Information Technology Security Evaluation (CC) fügen die in unterschiedlichen Wirtschaftszonen entstandenen Standards zueinander.
- Wie die ITSEC für Europa geben sie ein einheitliches Prüfverfahren vor, mit dem sicherheitsrelevante Aspekte von Hard- und Software so geprüft werden können, dass nachvollziehbare und vergleichbare Ergebnisse erzielt werden.
- Durch die Entwicklung des ISO/IEC 15408 sind die CC ein international anerkannter Standard.
Dieser besteht aus drei Teilen:
- Einführung und allgemeines Modell (Introduction and general model)
- Funktionale Sicherheitsanforderungen (Security functional requirements)
- Anforderungen an die Vertrauenswürdigkeit (Security assurance requirements)
IT-Produkte und IT-Systeme können nach dem Standard, auch unter dem Namen „Common Criteria (CC)“ bekannt, zertifiziert werden.
- Im Rahmen der Zertifizierung wird die Sicherheit durch eine unabhängige Instanz (Prüfstellen, Zertifizierungsstellen und die nationalen Behörden) überprüft.
EN ISO-9000-Normenreihe
Die ISO-9000-Normreihe ist kein IT-Sicherheitsstandard, sondern definiert ein Prüfverfahren für Qualitätsmanagementsysteme.
- Da ein Qualitätsmanagementsystem gute Voraussetzungen für ein hohes Sicherheitsniveau bietet, ist die Nennung von ISO 9000 in diesem Zusammenhang durchaus angemessen.
Die Eigenschaften des Qualitätsmanagementsystems müssen dokumentiert und sowohl durch interne als auch externe Stellen nachvollziehbar sein. In diesem Rahmen wird auch überprüft, ob die EDV-Ausstattung und -Organisation dem Unternehmenszweck angemessen sind.
COBIT
COBIT - Control Objectives for Information and Related Technology ist ein internationales Framework, das die Aufgaben der IT in Prozesse und Kontrollziele aufgliedert.
- Primär geht es hierbei aber nicht darum, wie etwas umzusetzen ist, sondern was umzusetzen ist.
- Es werden also Ergebnisse und nicht Wege zum Ziel beschrieben.
Von einem Werkzeug, das früher nur von Auditoren eingesetzt wurde, hat es sich zu einem Werkzeug entwickelt, das nun dazu dienen kann, die Informationstechnologie einer Firma aus Unternehmenssicht zu steuern.
- Es wird auch benutzt, um die Einhaltung gesetzlicher Anforderungen an das Unternehmen modellieren zu können.
Prinzipiell wird hierbei ein „Top-Down“-Ansatz verfolgt, d. h. ausgehend von den Unternehmenszielen werden Ziele der IT-Infrastruktur abgeleitet und daraus wiederum alle Kriterien der IT beeinflusst.
ITIL
- Auch die ITIL (IT Infrastructure Library) ist kein IT-Sicherheitsstandard.
- In ihr werden Regeln und Definitionen für den Betrieb einer gesamten IT-Infrastruktur (IT Service Management – ITSM) anhand von sogenannten Best Practices vorgegeben.
- Im Grundansatz beschreibt die ITIL darin einen ITSM-Lifecycle (Lebenszyklus).
- In einem Regelkreis wird die kontinuierliche Verbesserung der Prozesse, der Organisation und der entsprechenden Werkzeuge und somit der gesamten IT-Infrastruktur beschrieben.
- Dabei gliedert sich die ITIL V3 in fünf Bücher, die gleichzeitig die fünf Lebensphasen des ITSM-Lebenszyklus darstellen
- Service Strategy (Servicestrategie)
- Service Design (Serviceentwurf)
- Service Transition (Serviceüberführung)
- Service Operation (Servicebetrieb)
- Continual Service Improvement (Kontinuierliche Serviceverbesserung)
- Mit der Einführung von ITIL V4 (Februar 2019) wird ein vollständiger Paradigmenwechsel vollzogen.
- Aber keine Angst: ITIL V3 behält weiterhin seine Gültigkeit.
- In ITIL V4 werden keine spezifischen Prozesse mehr definiert.
- Es verfolgt einen neuen, ganzheitlichen Ansatz und bildet das Service-Management von der Nachfrage bis zur Wertschöpfung als zentrales Element ab.
- Es besteht nun aus den Komponenten Vier-Dimensionen-Modell (ganzheitlicher Ansatz der Wertschöpfungskette) und Service-Werte-System.
- Letzteres besteht aus den Teilkomponenten Leitprinzipien, Governance, Service-Wertschöpfungskette und kontinuierliche Verbesserung.
- Jegliche Tätigkeit im IT-Umfeld kann so mithilfe eines standardisierten Vorgehens angegangen werden.
- Das betrifft selbstverständlich auch den IT-Sicherheitsprozess.
Zielgruppen
Die vorgestellten Kriterienwerke haben eine unterschiedliche Zielsetzung und sind daher eher für den Einsatz in bestimmten Zielgruppen geeignet.
Obwohl einzelne Kriterienwerke durchaus auch als Hilfsmittel für andere Anwendungsbereiche nützlich sein können, liegt die Priorität der Anwendung einzelner Werke in folgenden Bereichen:
IT-Grundschutz-
BSI ISO TR ISO ISO Common ISO COBIT ITIL Kompendium 200 13335 19790 2700X Criteria 9000
U n Hardware-Hersteller
× × ×
ter n e Software-Hersteller
× × × × ×
hme n Server-Betreiber
× × × × × ×
ska t e Netzprovider
× × × × × ×
gor i e
Content-Provider × × × × × ×
Unternehmen ×
× × ×
(als Kunde) P e r IT-Leitung
× × × × × ×
son a l Administrator
× × x rol l e IT-Sicherheits-/ Daten-
×
× × × × × ×
schutzbeauftragter Management
× × × × ×
Projektmanager
× × × × × × × x
× = Hauptzielgruppe
DIN EN 50600
topic - Beschreibung
Beschreibung
- DIN EN 50600
Standardisierung für die Infrastruktur von Rechenzentren Auf die Initiative der CENELEC (Comitté Européen de Normalisation Electrotechnique) wurde eine europaweite Norm für alle Einrichtungen und Infrastrukturen eines Rechenzentrums geschaffen. Es wurden dabei die Aspekte wie RZ-Auslegung, RZ-Integration, Installationen und Instandhaltung von Einrichtungen und Infrastrukturen innerhalb von Rechenzentren länderübergreifend vereinheitlicht. Die DIN EN 50600 beinhaltet auch gewisse Freiheitgrade (für unterschiedliche RZ-Konzepte) und ist als normierter Leitfaden und Baukastensystem zu verstehen.
- Einzelbausteinen
- DIN EN 50600-1
- DIN EN 50600-2
- DIN EN 50600-3
- DIN EN 50600-4
- Informationstechnik-Einrichtungen und Infrastrukturen von Rechenzentren
Allgemeine Konzepte Gebäudekonstruktion, Stromversorgung, Regelung der Umgebungsbedingungen, Infrastruktur der Telekommunikationsverkabelung, Sicherungssysteme Informationen für das Management und den Betrieb Überblick über und allgemeine Anforderungen an Leistungskennzahlen, Kennzahl zur eingesetzten Energie, Anteil erneuerbarer Energien Die DIN EN 50600-X unterstützt u. a. Betreiber, Planer, IT-Management, Facility-Manager bei der Planung, der Realisierung und dem Betrieb von Rechenzentren. Sie ermöglicht eine auf die Bedürfnisse des Nutzers maßgeschneiderte, normkonforme Auslegung der technischen Gewerke.
Security Policy
siehe Security_Policy
Aufgaben eines IT-Sicherheitsbeauftragten
siehe IT-Sicherheitsbeauftragte
Weblinks