Maßgeschneiderte Vorlagen für ISMS-Richtlinien

Eine ISMS-Leitlinie ist ein übergeordnetes, strategisches Dokument, in welchem die Rahmenbedingungen, Grundsätze und Maßnahmen für den Schutz von Information innerhalb einer Organisation festlegt werden. Darin werden neben dem Warum, d.h. die Beweggründe für Informationssicherheit, der Zielsetzung, der Geltungsbereich auch die Rahmenbedingungen für die Erreichung der definierten Ziele (erforderliche Rollen und Verantwortlichkeiten, Prinzipien, etc.) beschrieben.

Neben einer ISMS-Leitlinie, in der normalerweise keine konkreten Vorgaben definiert werden, sondern lediglich das Grundgerüst für die Etablierung eines ISMS beschrieben wird, existieren i.d.R. mehrere Richtlinien zu den verschiedenen Themenbereichen mit konkreten Vorgaben.

Vorlagen oder Templates bieten einen Ausgangspunkt, indem sie die wesentlichen Themen enthalten, die von einem Standard gefordert werden. Sie werden dann an die spezifischen Anforderungen Ihres Unternehmens angepasst.

Durch das Customizing von Policies können unternehmensspezifische Rahmenbedingungen (u.a. beabsichtigtes Sicherheitsniveau, die individuelle Bedrohungslage, sowie weitere wichtige Faktoren) angemessen berücksichtigt werden.

Dank unserer langjährigen Erfahrung in zahlreichen Beratungsprojekten verfügen wir über einen stetig wachsenden Pool an Vorlagen. Die von unseren Consultants individualisierten Policies werden regelmäßig im Rahmen von Audits geprüft, ständig weiterentwickelt, und auf dem Stand der Technik gehalten.

Als Security Boutique ist unser Anspruch, wirksame, maßgeschneiderte Prozesse und Richtlinien zu entwickeln. Natürlich erfinden wir das Rad nicht ständig neu und greifen auf unser Set an Vorlagen für Security-Richtlinien und -Prozessen zurück. Der Mehrwert entsteht aber unserer Meinung erst dann, wenn die Sicherheitsrichtlinien und Vorgaben das gewünschte Sicherheitsniveau abdecken, das Kosten-Nutzen-Verhältnis der definierten Vorgaben angemessen ist und die enthaltenen Regeln für die Zielgruppe verständlich ist. Diesen Mehrwert kann ein Template nicht leisten, weshalb wir hier auf die Expertise unserer Consultants setzen.

Eine pauschale Antwort ist hier leider nicht möglich. Vereinzelte Dokumente (z.B. Informationssicherheitsleitlinie, Richtlinie zur Infoklassifizierung, Risikomanagement-Prozess) können in ca. 5 Tagen erstellt und ausgearbeitet werden. Bei komplexeren Themen wie einer Richtlinie zum Sicheren IT-Betrieb, oder einer Richtlinie zur sicheren Softwareentwicklung bis zu 10 Tage. Kontaktieren Sie uns gerne, damit wir Ihre individuellen Anforderungen verstehen und ein maßgeschneidertes Angebot für Sie erstellen können.

ISMS steht für Information Security Management System. Ziel eines ISMS ist es die Vertraulichkeit, Verfügbarkeit und Integrität von Informationen innerhalb eines Unternehmens zu gewährleisten.

BCMS steht für Business Continuity Management System. Ziel eines BCMS ist es die Aufrechterhaltung bzw. Fortführung des Geschäftsbetriebs – auch bzw. gerade im Falle von Störungen – zu gewährleisten.

Ein BCMS (Business Continuity Management System) fokussiert sich einerseits darauf die Wahrscheinlichkeit von Betriebsunterbrechungen zu verringern andererseits aber auch darauf beim Eintritt von Störungen zeitkritische Geschäftsprozesse bzw. -abläufe weiter betreiben zu können. Ein ISMS fokussiert sich auf die Verfügbarkeit, Vertraulichkeit und Integrität von (elektronischen, aber auch physischen) Informationen.

Die ISMS-Leitlinie ist das übergeordnete Dokument, das den Anwendungsbereich des ISMS, seine Ziele und die zugrunde liegende Strategie beschreibt.

Ein ISMS steht als Überbegriff für alle Prozesse, Verfahren und Verantwortlichkeiten um die Vertraulichkeit, Verfügbarkeit und Integrität von Informationen zu gewährleisten. Dazu gehören nachfolgende Komponenten:

1. Verantwortlichkeiten: Sämtliche für den Betrieb des ISMS erforderlichen Rollen müssen definiert werden. Dazu zählen insbesondere
   • Top Management: Übergreifende Verantwortung für Informationssicherheit
   • Informationssicherheitsbeauftragte: Verantwortung das ISMS aufzubauen und fortlaufend weiterzuentwickeln.
   • Asset-Verantwortlicher: Verantwortung für die Sicherheit der betriebenen Systeme und Assets.
   • Mitarbeiter: verantwortlich dafür das Security im täglichen Betrieb gelebt wird.
2. Sicherheitsprozesse und Richtlinien: Festlegung aller erforderlichen von Security-Richtlinien (z.B. Nutzung von IT-Systemen, Handhabung von Informationen, Physische Sicherheit oder zum sicheren Betrieb von IT-Systemen, …) und -Prozesse (Security Incident Management Prozess, Informationssicherheits-Risikomanagement-Prozess, …).
3. Risikomanagement: Identifikation und Bewertung der für das Unternehmen wichtigsten Assets sowie den relevanten Risiken. Damit die begrenzten Ressourcen zielgerichtet genutzt werden können ist es wichtig diese in die Behandlung der größten Risiken zu investieren.
4. Schulung und Bewusstsein: Die Wirksamkeit von Security steht und fällt mit dem korrekten Verhalten. Das Bewusstsein aller Mitarbeiter über die Sicherheitsrichtlinien, Verfahren und bewährte Praktiken ist somit essenziell.
5. Überwachung und Überprüfung: Das ISMS muss regelmäßig hinterfragt und überprüft werden – z.B. mithilfe von Kennzahlen, oder in Form von internen Audits.
6. Kontinuierliche Verbesserung: Identifizierung von Verbesserungsmöglichkeiten und Implementierung von Maßnahmen zur kontinuierlichen Weiterentwicklung des ISMS.

Einige Unternehmen sind gesetzlich dazu verpflichtet ein ISMS aufzubauen und regelmäßig dessen Wirksamkeit nachzuweisen. Dazu zählen zum Beispiel Betreiber kritischer Infrastrukturen (KRITIS) sowie Unternehmen der Luftsicherheitsbranche. Immer mehr Kunden erwarten von Ihren Partnern oder Dienstleistern ein ISMS zu etablieren um die Sicherheit entlang der Wertschöpfungskette zu gewährleisten.

Mit über 50 hochqualifizierte Cyber Security Experten, und mehr als 20 Jahren Erfahrung dürfen wir 500+ zufriedene Kunden unterstützen - davon 50% der DAX-Konzerne und hunderte mittelständische Unternehmen.

Zusätzlich konnten wir bereits über 1 Mio. Mitarbeiter, Manager, Administratoren und Entwickler mit unseren Awareness-Trainings sensibilisieren.

Wir sind davon überzeugt, dass die Werte unserer Gesellschaft auch im Cyber-Raum geschützt werden müssen. Deshalb helfen wir Organisationen, sich mit dem richtigen Zusammenspiel aus Technologien, Prozessen und Menschen selbst zu schützen.

Das bedeutet konkret:

• Wir machen die individuellen Risiken und Bedrohungen greifbar und verständlich (Identify)
• Wir erhöhen durch gezielte Maßnahmen die Widerstandsfähigkeit gegenüber Cyber-Angriffen (Protect)
• Wir entwickeln Konzepte, um Cyber-Angriffe zeitnah zu erkennen (Detect)
• Wir begrenzen den Schaden von Cyber-Angriffen durch gute Vorbereitung und professionelle Reaktion (Respond)
• Wir helfen Unternehmen, nach einem Angriff wieder schnell betriebsfähig zu sein (Recover)

Bei alledem verfolgen wir den Ansatz, erfolgreiche Cyber Security Strategien aus Konzernen mit Augenmaß und Pragmatismus für den Mittelstand zu transferieren, durch qualitativ hochwertige Best Practices und Standards.

Kurz gesagt: Wir verstehen uns als "Boutique" und liefern Klasse statt Masse.

Überzeugt? Packen wir's gemeinsam an!