ISIS12 – Informationssicherheitsmanagement für KMU

Die weltbeste Leitlinie kann keinen effizienten Schutz bieten, wenn Mitarbeiter und Führungskräfte nicht nachvollziehen können, wozu sie eingeführt wurde. Das Sensibilisieren Ihrer Mitarbeiter als wertvolle Sicherheitsressource ist deshalb nach dem Erstellen der Leitlinie der nächste logische Schritt. Sämtliche Organisationsebenen müssen die Notwendigkeit der ISIS12-Zertifizierung sowie die Bedeutung der Informationssicherheit im Unternehmen nicht nur verinnerlichen, sondern leben. Den Workflow von ISIS12 erläutern wir Ihrem Team in einem informativen und praxisnahen Vortrag, der die Wichtigkeit des Informationssicherheitsmanagements begreifbar macht.

Wir kennen Ihren Ist-Zustand, wir kennen Ihre Ziele und wir kennen die Maßnahmen zur Zielerreichung. Wie Sie Ihre Ziele erreichen, muss genau dokumentiert werden, wobei größter Wert auf die Aktualität sämtlicher Daten gelegt wird, deren Kontrolle dem IT-Verantwortlichen obliegt. Änderungen müssen nachvollziehbar sein, sodass Versionierungen der Dokumentationen erforderlich sind. ISIS12 verlangt von Ihnen als KMU einen Netzplan sowie das Einführen einer Software (CMDB-Software-Tool; "Configuration Management Database"), die das Managen Ihrer IT-Systeme unterstützt – letzteres binnen ein bis zwei Jahren, spätestens zum Beginn des zweiten ISIS12-Durchlaufs. Weiter regelt ein IT-Notfallhandbuch sämtliche Abläufe im Notfall. Auch diesen Weg gehen wir mit Ihnen zusammen und bilden eine Art doppelten Boden, der Sie mit einem objektiven und branchenkennenden Blick von außen begleitet, um die ISIS12-Anforderungen individuell für Ihre Organisation umzusetzen.

Drei IT-Service-Management-Prozesse sind für ISIS12 von fundamentaler Bedeutung: die Wartung, etwaige Änderungen sowie die Störungsbeseitigung. Diese Prozesse werden im 5. Schritt implementiert. Das IT-Betriebshandbuch beschreibt die Wartungsprozesse. Fallen im Rahmen der Wartung notwendige Änderungen auf, steuern wir diese über einen Änderungsprozess ein. Zuletzt definieren wir mit Ihnen zusammen den Störungsbeseitigungsprozess: betroffene Benutzer wenden sich im Störungsfall an die IT-Abteilung, die die Ergebnisse aus dem 7. Schritt nutzt, um die einzuleitenden Maßnahmen zu priorisieren. Spätestens hier wird erkennbar, wie effizient die 12 Stufen von ISIS12 aufeinander aufbauen und wie KMU von der Zuverlässigkeit profitieren: das neue Informationssicherheits-Managementsystem erklärt exakt und auf das jeweilige Unternehmen zugeschnitten, was in welchem Fall durch wen zu tun ist.

Ab diesem Schritt befinden wir uns in der operativen Phase des ISIS12-Prozesses. Gemeinsam identifizieren und bewerten wir Anwendungen, die als unternehmenskritisch einzustufen sind. Den Applikationen ordnen wir je drei Schutzbedarfskategorien zu, die sich auf die Grundwerte der Informationssicherheit beziehen: "Vertraulichkeit, Integrität und Verfügbarkeit". Aus der somit entstandenen Schutzbedarfsfeststellung leiten wir Maximal Tolerierbare Ausfallzeiten (MTA) sowie Service Level Agreements (SLA) ab und dokumentieren sie im Servicekatalog, der über die in Schritt 4 implementierte CMDB-Software verwaltet wird.

In Schritt 7 werden sämtliche personellen, technischen, infrastrukturellen sowie organisatorischen Objekte zusammengefasst, die für das Verarbeiten von Informationen in Ihrem Unternehmen relevant sind. Wir erfassen diese Objekte in Hinblick auf sicherheitsrelevante Abhängigkeiten zu kritischen Applikationen und gruppieren sie weitergebend in Teilbereiche. Neben dem Schutzbedarf kritischer Applikationen wird den Objekten auch die MTA vererbt. Verlassen Sie sich auf unsere Expertenaugen mit jahrzehntelanger Erfahrung beim Analysieren Ihrer IT-Struktur!

Den im vorigen Schritt ermittelten Objekten ordnen wir nun die empfohlenen Sicherheitsmaßnahmen zu. Der ISIS12-Katalog dient dazu als Basis; er inkludiert einen weniger umfangreichen Maßnahmenkatalog als der BSI-Grundschutzkatalog, worin sich einmal mehr die Praktikabilität von ISIS12 speziell für KMU zeigt. Mit ISIS12 kategorisieren wir lediglich in vier Bausteinen: Universale Aspekte, Infrastruktur, IT-Systeme/-Netze und Anwendungen. Die IT-Objekte werden nun kategorisiert; so gehört der Serverraum Ihres Unternehmens beispielsweise zur Kategorie Infrastruktur. Nutzen Sie das ISIS12-Softwaretool, findet diese Zuordnung im Rahmen der IT-Strukturanalyse bereits automatisiert statt.

In Schritt 8 haben wir notwendige Maßnahmen erarbeitet, Schritt 9 schafft mithilfe eines Ist-Soll-Vergleichs einen Überblick zum Umsetzungsgrad dieser Maßnahmen. Für diese Erhebung kann der ISB einen verantwortlichen Spezialisten bestimmen. Denkbare Beurteilungen im Vergleich könnten sein: "umgesetzt", "teilweise umgesetzt", "nicht umgesetzt" oder "Umsetzung nicht notwendig".

Aus dem Vergleich ergibt sich ein Maßnahmenkatalog, der nun erzeugt und konsolidiert wird. Es findet eine Priorisierung der umzusetzenden Maßnahmen statt, die zusammen mit einer Abschätzung der entstehenden Kosten an die Geschäftsleitung kommuniziert wird. Ist die Reihenfolge für das Umsetzen notwendiger Maßnahmen festgelegt, folgt in Schritt 11 das Umsetzen.

Ein weiterer Meilenstein zur Implementierung Ihres Informationssicherheitsmanagementsystems (ISMS): Sie setzen die nun genehmigten Maßnahmen für erhöhte Informationssicherheit in Ihrem Unternehmen um. Dafür legen Sie für jede einzelne Maßnahme den Initiator, den Umsetzer sowie den Zeitpunkt der Realisierung fest. Fällt die Umsetzung komplex aus, ist es eine Überlegung wert, unsere Kompetenzen zur Schulung Ihrer Mitarbeiter einzusetzen.

Das Software-Tool fordert nun einen Revisionstermin – entweder für eine oder aber für mehrere Maßnahmen. In Schritt 12 erzeugen Sie deshalb eine Revisionsliste. Der erste ISIS12-Zyklus machte es notwendig, die 12 Schritte nacheinander abzuarbeiten. Haben Sie Schritt 12 jedoch abgeschlossen, können Sie auf jeden Einzelschritt direkt zugreifen. Dadurch kann die ISIS12-Software eine Kennzahl erzeugen, die den Grad der Umsetzung aller Maßnahmen anzeigt. So wissen Sie genau, wo Sie stehen – und wissen mit uns einen Sicherheitspartner neben sich, der sowohl beratend als auch aktiv auf Sie und die Anforderungen in Ihrem Unternehmen eingeht.