Cyber-Attacken systematisch begegnen

Anbieter zum Thema

Klinkhammer Intralogistics GmbH

LRQA Deutschland GmbH

Shining 3D Tech Co., Ltd

DQS GmbH

ISA+: Einfacher Einstieg für KMU

ISA+Informations-Sicherheits-Analyse (kurz: ISA+) wurde vom Bayerischen IT-Sicherheitscluster e. V. für kleine und mittlere Unternehmen (KMU) und Kommunen als einfacher Einstieg in die Informationssicherheit entwickelt. Das Verfahren ist leicht verständlich, bedarf keiner besonderen IT-Kenntnisse und ist auch hinsichtlich einer Zertifizierung mit überschaubarem Aufwand umzusetzen. Die Anforderungen der DS-GVO werden jedoch nicht explizit behandelt.

Zunächst wird der Informationssicherheitsbedarf des Unternehmens anhand von 50 praxisnahen Fragen ermittelt, die vier Themenbereichen zugeordnet sind:

• allgemeine Themen (Zahlen zum Unternehmen)

• Organisation (Richtlinien, Anweisungen, Schulung oder Verantwortlichkeit)

• Technik (vorhandene IT-Systeme, Datensicherung, Notfallvorsorge und Ähnliches)

• Recht (Compliance, Leistungen Dritter)

Zu jeder Frage existiert eine Handlungsempfehlung, die ein akkreditierter Berater mit den Antworten des Unternehmens abgleicht. Er nimmt unter Nennung von Stärken und Schwächen eine Einstufung in vier Reifegrade vor und ermittelt auf dieser Basis jene Maßnahmen, die für einen wirksamen Informationssicherheitsprozess umzusetzen sind. Das Unternehmen kann sich zum Nachweis der Wirksamkeit des Prozesses exklusiv von der DQS GmbH nach ISA+ für ein Jahr zertifizieren lassen.

Isis12: Wirksames ISMS für KMU

Isis12 wurde im Jahr 2012 vom Netzwerk für Informationssicherheit im Mittelstand als Grundlage für ein wirksames ISMS entwickelt und wie ISA+ vom Bayerischen IT-Sicherheitscluster herausgegeben. Auch dieses Regelwerk ist für KMU und öffentliche Verwaltungen gedacht, mit der zurzeit laufenden Revision sollen aber auch größere Unternehmen angesprochen werden. Isis12 bietet – bei überschaubarer Komplexität der IT-Strukturen – einen festen Rahmen für Informationssicherheit. Die Implementierung erfolgt in zwölf Schritten, eingeteilt in drei Phasen:

• Phase I: Initialisierung

• Phase II: Festlegung der Aufbau- und Ablauforganisation

• Phase III: Entwicklung und Umsetzung des Isis12-Konzepts

Isis12 kann anhand eines Handbuchs und einer Software prinzipiell in Eigenregie implementiert werden. In der Regel kommt jedoch ein zugelassener Berater zum Einsatz. Die Zertifizierung erfolgt ebenfalls exklusiv durch DQS. Für Isis12 gibt es ein zusätzliches Datenschutzmodul, mit dem die Anforderungen der DS-GVO gut erfüllt werden können.

Hauptanliegen der aktuellen Revision ist die Erleichterung eines Upgrades zu ISO 27001 (Einrichtung, Umsetzung und Aufrechterhaltung eines dokumentierten Informationssicherheits-Managementsystems), was dem Bedarf vieler Isis12-Anwender entspricht, beispielsweise bei zunehmender Komplexität der IT oder aufgrund externer Anforderungen. Isis12 2.0 wird deshalb auf die Basis ISO 27001 umgestellt (statt IT-Grundschutz-Katalog). Ein nicht unerhebliches Delta zu ISO 27001 bleibt jedoch bestehen.

ISO 27001: Umfassende Informationssicherheit:

Die ISO 27001 – erstmals im Jahr 2005 erschienen – kann von Unternehmen aller Branchen und Größen implementiert werden, sinnvollerweise von solchen mit komplexerer IT-Struktur. Eine Ausnahme bilden Organisationen, die unter die sogenannte „Kritis-Verordnung“ fallen und damit ein ISMS entweder auf Basis von ISO 27001 oder einem der branchenspezifischen Sicherheitsstandards“ (B3S) einführen müssen. Das Hauptkriterium ist hier nicht die Komplexität der IT-Strukturen, sondern die Bedeutung, die eine Organisation als „kritische Infrastruktur“ für die Versorgung der Gesellschaft hat.

Was ISO 27001 unter anderem von den vorgenannten Regelwerken abhebt, sind neben der individuellen Herangehensweise vor allem die umfassende Risikoanalyse und die daraus abzuleitenden Sicherheitsmaßnahmen. Hilfreich hierbei sind der Normenanhang mit über 100 praxisorientierten Sicherheitskontrollen und der Normentext selbst mit seinen Empfehlungen für die Kontrollmechanismen. Die ISO 27001 deckt Datenschutzbelange nur teilweise ab – am ehesten dort, wo es um technische Sicherheit oder Zugangskontrollen geht. Auch ist der Datenschutzbeauftragte kein Thema. Ein zusätzliches Datenschutz-Audit (Compliance) kann diese Deltas sicher schließen.

Der Nutzen von ISO 27001:

• Nachweis angemessener Informationssicherheit

• Sensibilisierung der Belegschaft für Informationssicherheit

• fortlaufende Verbesserung des ISMS

• Compliance bzw. Rechtssicherheit

• Vertrauen bei interessierten Parteien

• sehr gute Integration in bestehende ISO-Managementsysteme

(ID:46045383)