ISMS-Beratung
Informationssicherheit aufbauen und im Unternehmen verankern
Neue IT-Systeme, zusätzliche Kundenanforderungen und veränderte Bedrohungen verlangen nachvollziehbare Entscheidungen über Ihre Informationssicherheit. Welche Informationen brauchen besonderen Schutz? Wer entscheidet über Sicherheitsmaßnahmen? Und wie lässt sich überprüfen, ob diese wirken?
Wir von CertMobile unterstützen Sie dabei, diese Fragen mit einem Informationssicherheitsmanagementsystem (ISMS) zu beantworten. Unsere ISMS-Beratung begleitet Sie von der Einführung über die Optimierung bestehender Prozesse bis zur Zertifizierungsvorbereitung. Gemeinsam entwickeln wir eine Lösung, die zu Ihrer Organisation, Ihren Verpflichtungen und den verfügbaren personellen und finanziellen Mitteln passt.
Inhaltsverzeichnis
Was ist ein ISMS?
ISMS steht für Informationssicherheitsmanagementsystem. Es legt fest, wie ein Unternehmen den Schutz seiner Informationen organisiert, Risiken bewertet, Maßnahmen umsetzt und deren Wirksamkeit überprüft. Dazu gehören Verantwortlichkeiten, Richtlinien, dokumentierte Entscheidungen und wiederkehrende Kontrollen.
Der Aufbau eines Informationssicherheits-Managementsystems schafft damit einen verbindlichen Rahmen für den Umgang mit Informationen aller Art. Das System umfasst sowohl technische als auch organisatorische und personelle Aufgaben. Es wird regelmäßig überprüft und an neue Anforderungen angepasst.
Wie unterscheiden sich Informationssicherheit und IT-Sicherheit?
IT-Sicherheit befasst sich mit dem Schutz von IT-Systemen und den darin verarbeiteten Daten. Informationssicherheit greift weiter: Sie schützt Informationen und die gesamte Organisation vor Schäden durch Verlust, Manipulation, unbefugte Offenlegung oder Nichtverfügbarkeit. Dabei schließt sie sämtliche Formen der Verarbeitung ein – unabhängig davon, ob Informationen digital, auf Papier oder beispielsweise in Gesprächen vorliegen.
Deshalb wirken beim Informationssicherheitsmanagement mehrere Unternehmensbereiche zusammen. Die IT verwaltet beispielsweise Benutzerkonten, das Personalwesen meldet das Ausscheiden von Beschäftigten und die Fachabteilungen entscheiden, welche Informationen eine Person für ihre Aufgaben benötigt.
Mit einem ISMS den Schutz geschäftskritischer Informationen organisieren
Ein ISMS hilft, Sicherheitsmaßnahmen nach nachvollziehbaren Kriterien auszuwählen. Unternehmen können dadurch objektiv beurteilen, welche Ausfälle besonders schwer wiegen, welche Informationen vertraulich bleiben müssen und wo bestehende Schutzmaßnahmen unzureichend sind. Dadurch lassen sich Investitionen gezielter planen und Entscheidungen gegenüber dem Management begründen.
Auch Kunden und Partner erwarten häufig, dass Unternehmen den sicheren Umgang mit ihren Daten belegen können. Im Rahmen Ihres Informationssicherheitsmanagements dokumentieren Sie die umgesetzten Schutzmaßnahmen und die Ergebnisse regelmäßiger Wirksamkeitsprüfungen. Zugleich erfassen Sie gesetzliche, vertragliche und branchenspezifische Compliance-Anforderungen und legen fest, wer für deren Umsetzung und Kontrolle verantwortlich ist.
Ein ISMS leistet so einen Beitrag zur Stabilität Ihrer Geschäftsprozesse. Es erleichtert die Vorbereitung auf Cyberangriffe, technische Störungen und menschliche Fehler sowie die koordinierte Reaktion auf Vorfälle.
ISO 27001, BSI-IT-Grundschutz und weitere Ansätze
Welche Grundlage geeignet ist, hängt von Ihren Zielen, den Anforderungen Ihrer Auftraggeber und den vorhandenen Strukturen ab. Wir unterstützen insbesondere den Aufbau und die Weiterentwicklung von Managementsystemen nach ISO 27001 und dem BSI-IT-Grundschutz.
Ein ISMS nach ISO 27001
Die internationale Norm ISO/IEC 27001 beschreibt Anforderungen an die Einführung, den Betrieb und die fortlaufende Verbesserung eines ISMS. Sie ist für Unternehmen unterschiedlicher Größen und Branchen anwendbar.
Ein ISMS nach ISO 27001 berücksichtigt die konkreten Risiken für Informationen und Prozesse im festgelegten Geltungsbereich.
Ihr Unternehmen bewertet diese Risiken, wählt geeignete Schutzmaßnahmen aus und dokumentiert die Gründe für diese Auswahl. Eine unabhängige Zertifizierung kann bestätigen, dass Ihr Managementsystem die Anforderungen der Norm erfüllt. Sie können ein ISMS auch aufbauen und betreiben, ohne eine Zertifizierung anzustreben.
Informationssicherheit mit BSI-IT-Grundschutz
Der IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik, kurz BSI, bietet Unternehmen eine Methode, um die Informationssicherheit systematisch zu organisieren und zu verbessern. Das zugehörige IT-Grundschutz-Kompendium beschreibt konkrete Sicherheitsanforderungen in einzelnen Bausteinen, beispielsweise für bestimmte IT-Systeme oder organisatorische Aufgaben.
Zunächst erfassen Sie die relevanten Geschäftsprozesse, Anwendungen und IT-Systeme Ihres Unternehmens. Auf dieser Grundlage wählen Sie die passenden Bausteine aus und prüfen, welche Anforderungen bereits erfüllt sind und wo zusätzliche Maßnahmen nötig sind. Je nach Ausgangslage und Zielsetzung stehen dafür die Basis-, Kern- oder Standard-Absicherung als unterschiedliche Vorgehensweisen zur Verfügung.
Welche Herausforderungen entstehen bei der ISMS-Einführung?
Verantwortlichkeiten und Arbeitszeit klären
Die Einführung gerät ins Stocken, wenn Entscheidungen offenbleiben oder Beschäftigte ihre zusätzlichen Aufgaben nebenbei erledigen sollen. Geschäftsführer und Führungskräfte müssen Ziele festlegen, Zuständigkeiten verbindlich regeln und ausreichend Arbeitszeit sowie Budget bereitstellen. Diese Unterstützung ist eine wesentliche Voraussetzung für die Etablierung verlässlicher Sicherheitsprozesse.
Dokumentation im Arbeitsalltag nutzbar machen
Richtlinien müssen so formuliert sein, dass Mitarbeiter sie im Arbeitsalltag umsetzen können. Für die sichere Datenübertragung sollte beispielsweise klar geregelt sein, welche Dienste oder Verfahren freigegeben sind und wer bei Fragen weiterhilft.
Damit die Vorgaben aktuell bleiben, legen Sie fest, wer die Inhalte pflegt, wer Änderungen freigibt und in welchen Abständen die Dokumente überprüft werden. Auch bei veränderten Arbeitsabläufen oder neuen IT-Systemen sollten die betroffenen Richtlinien überprüft und bei Bedarf angepasst werden.
Aufwand und Schutzbedarf aufeinander abstimmen
Ein angemessenes Maß an Sicherheit berücksichtigt mögliche Schäden, betriebliche Abhängigkeiten und die Umsetzbarkeit von Maßnahmen. Besonders schützenswerte Informationen erfordern gegebenenfalls strengere Zugriffsregeln oder zusätzliche Kontrollen. Die dafür benötigte Zeit und das Budget sollten bei der Planung berücksichtigt werden.
Zusätzlich sind Abhängigkeiten von externen IT-Services zu beachten. Auslagerungen verändern die Aufgabenverteilung, entbinden das Unternehmen aber nicht davon, Anforderungen festzulegen und deren Einhaltung zu kontrollieren.
So unterstützen wir Sie mit unserer ISMS-Beratung
Unsere ISMS-Berater verbinden Erfahrung aus Informationssicherheit, IT-Administration und Projektmanagement. Wir übersetzen Standards und Best Practices in konkrete Aufgaben und begleiten Ihre Mitarbeiter bei der Umsetzung. Der Umfang unserer Unterstützung richtet sich nach Ihrem aktuellen Stand, dem verfügbaren Know-how und dem gewünschten Zeitrahmen.
1. Ziele und Geltungsbereich festlegen
Darauf aufbauend bestimmen wir gemeinsam den Geltungsbereich: Welche Standorte, Leistungen und Geschäftsprozesse sollen erfasst werden? Dabei berücksichtigen wir auch zentrale IT-Systeme, die mehrere Standorte oder Abteilungen nutzen, beispielsweise E-Mail-Dienste, Server oder eine gemeinsame Benutzerverwaltung. Zusätzlich prüfen wir, welche Leistungen externer Dienstleister für die betreffenden Prozesse und Informationen relevant sind. So legen wir fest, welche Unternehmensbereiche und technischen Abhängigkeiten beim Aufbau des ISMS berücksichtigt werden müssen.
2. Den Handlungsbedarf mit einer Gap-Analyse ermitteln
Dabei unterscheiden wir zwischen fehlenden Vorgaben, noch ausstehenden Maßnahmen und unzureichenden Nachweisen. So wird sichtbar, ob beispielsweise eine Berechtigungsregelung fehlt oder eine bereits geregelte Kontrolle lediglich nicht dokumentiert wurde. Aus der Analyse entsteht eine Aufgabenübersicht mit Prioritäten und Zuständigkeiten.
3. Informationswerte und IT-Risiken bewerten
Aus den Ergebnissen leiten wir in Zusammenarbeit mit Ihnen geeignete Schutzmaßnahmen ab und legen fest, wer sie umsetzt. Außerdem dokumentieren wir, welche Risiken danach verbleiben. Ob diese akzeptiert werden können, entscheiden die dafür benannten Verantwortlichen Ihres Unternehmens. Auch diese Entscheidungen und die entsprechenden Begründungen halten wir nachvollziehbar fest.
4. Sicherheitskonzept und Maßnahmen umsetzen
Für die Implementierung legen wir gemeinsam Arbeitsschritte, Verantwortlichkeiten und Termine fest. Unsere Security-Experten erläutern die Abläufe anhand praktischer Beispiele und beantworten Fragen zum Thema Informationssicherheit. So können Ihre Mitarbeiter die Sicherheitsprozesse anschließend eigenständig anwenden und weiterführen.
5. Dokumentation und bestehende Systeme verbinden
Wir prüfen, welche vorhandenen Unterlagen sich weiterverwenden oder anpassen lassen. Fehlende Richtlinien und Vorgaben arbeiten wir im Rahmen unseres Full-Service-Angebots komplett für Sie aus und stimmen sie auf Ihren Betriebsalltag ab. Bei Bedarf unterstützen wir Sie außerdem bei der Auswahl einer Software, mit der Sie Aufgaben verwalten, Dokumente freigeben und Überprüfungstermine nachhalten können. Dabei orientieren wir uns an Ihren bestehenden IT-Systemen und den Arbeitsabläufen Ihrer Mitarbeiter.
6. Die Zertifizierungsvorbereitung begleiten
Interne Audits und die Bewertung des Managementsystems durch die Leitung zeigen, ob die vorgesehenen Prozesse funktionieren und Verbesserungen erforderlich sind. Die externe Prüfung erfolgt durch unabhängige Auditoren. Über die Zertifizierung entscheidet die zuständige Zertifizierungsstelle.
7. Betrieb und Weiterentwicklung organisieren
Im vereinbarten Umfang begleiten wir die Weiterentwicklung und regelmäßige Überprüfung. Geeignete Kennzahlen, etwa zu überfälligen Maßnahmen oder durchgeführten Berechtigungsprüfungen, helfen bei der Steuerung. Erkenntnisse aus Vorfällen und Audits fließen in die Verbesserung ein. So bleibt Informationssicherheit im Betrieb dauerhaft handhabbar.
Häufige Fragen zur ISMS-Beratung
Was sind die drei Grundwerte des BSI-Grundschutzes?
Was sind die BSI-Standards?
Wie lange dauert die Einführung eines ISMS nach ISO 27001?
Wie läuft eine ISO-27001-Zertifizierung ab und wie lange ist sie gültig?
Wie viel kostet eine ISO-27001-Zertifizierung?
Ist der BSI-IT-Grundschutz verpflichtend?
ISMS-Beratung bei CertMobile anfragen
Unser Team unterstützt Sie mit fachlichem Wissen und Erfahrung bei der Einführung und Pflege Ihres Managementsystems. Gemeinsam klären wir, welche Aufgaben Ihr Unternehmen übernimmt und in welchem Bereich unsere Beratung den größten Nutzen bietet.