Informationssicherheitsmanagement

• Selbstauferlegt

• Von Kundenseite gefordert

• Durch Gesetzgeber gefordert

• Verbessertes Risikomanagement

• Wirksames Sicherheitsmgmt

• Geschäftsvorteil

• Plan: Planung des ISMS

• Do: Umsetzung der Planung und Betrieb des ISMS

• Check: Überprüfung der etablierten Prozesse und Maßnahmen

• Act: Festlegung von Korrekturmaßnahmen zur Verbesserung des ISMS

• Dokumentation

• Fähigkeiten und Awareness

• ISMS – Prozesse

• Lieferantenbeziehungen

• Interne Audits

• Performance Monitoring & KPIs

• Risikomgmt

• Rollen und Verantwortlichkeiten

• Leit- und Richtlinien

• Führungsverhalten und Verpflichtungen

• Unternehmen

• Interne Vorgaben

• Kultur

• Struktur

• Standorte

• Assets

• Geschäftsmodell

• Gesetzliche Anforderungen

• Regulatorische Anforderungen

• Vertragliche Anforderungen

• Dienstleister

• Kunden

• Informationsgüter

• Produkte & DLangebote

• Geschäftsvorgänge

• HW

• SW

• Netzwerke

• Standort

• Physikalische und räumliche Grenzen definieren

• Einzelne Standorte könnten bspw. ausgeschlossen werde

• Logische und technische Grenzen definieren

• Einzelne IT-Systeme könnten bspw. ausgeschlossen werden

• Organisationsstrukturen definieren

• Einzelne Abteilungen, die keinen Einfluss auf Informationssicherheit haben könnten ausgeschlossen werden

• Schutzziele

• Informationsklassifizierung

• Ziele / Schlüsselkennzahlen

• Verantwortung

• Sicherheitsprozesse (PDCA)

• Richtliniensysteme / Dokumentenlenkung

dient der Regelung von Vorgehensweisen für die Identifizierung, Erstellung, Pflege, Überprüfung und Freigabe der Dokumente des Unternehmens

• Autor

• Verantwortlicher

• Freigegeben durch

• Gültigkeit

• Status

• Ablageort

• Revisionshistorie

• Ziel und Zweck

• Geltungsbereich

1.      Identifizierung

2.      Erstellung / Update

3.      Klassifizierung und Sicherheit

4.      Überprüfung

5.      Genehmigung

6.      Veröffentlichung

7.      Angemessene Verwendung

8.      Archivierung

9.      Entsorgung

weitere Rollen

• CIO: Leiter der IT

• Asset Owner: Verantwortlich für ein Asset

• Risk Owner: Verantwortlich für ein Risiko

• Development Manager: Entwickler / Technischer Verantwortlicher für ein Asset

• Provider Manager: Verantwortlicher für Dienstleistungen

• Datenschutzbeauftragter: Verantwortlich für Datenschutz

• Steering Committee: Entscheidungsgremium für Projektmanagement

• Ausschuss für Informationssicherheit: Sicherstellung eines reibungslosen Betriebsablaufs des ISMS

• Mgmt-Ausschuss: Festlegung der Jahresziele, Bereitstellung von Ressourcen

• Transparenz

• Angemessenheit

• Glaubwürdigkeit

• Klarheit

• Reaktionsfähigkeit

• Training

• Sensibilisierung

• Kommunikation

• Kennzahlensystem: Messung des ISMS-Zustandes

• Interne Audits: Überprüfung des ISMS auf Konformität durch eine unabhängige Partei

• Mgmt-Review: Überprüfung der Wirksamkeit des ISMS durch die oberste Leitung

• Widerspiegeln des Reifegrads des ISMS

• SMART und in Unternehmensziele integrierbar

• Aussagekräftige Datenbasis

• Aufwand für die Erhebung angemessen

• Technisch als auch organisatorische KPIs

• Ableiten von konkreten Maßnahmen