Informationssicherheitsmanagement: Mit Information Security und Datenschutz starke Synergieeffekte erreichen!

Der digitale Wandel ist in vollem Gange.
Doch, die vielen Nutzen einer fortschreitend digitalisierten, vernetzten und mobilen Arbeitsumgebung haben auch negative Begleiterscheinungen: Internetangriffe, Datenklau und Erpressungssoftware nehmen stetig zu und stellen dadurch eine explizite Gefährdung für die Information Security und den Datenschutz von Unternehmungen dar.
Aus diesem Grund sollte die Implementation eines gut konzipierten Informationssicherheitsmanagementsystems in den Fokus rücken.
Denn als gewichtiger Gegenstand einer umfassenden Sicherheitsstrategie definiert ein Informationssicherheitsmanagementsystem Standards, Prozeduren und Schritte, mit welchen Unternehmen sowohl die IT-Sicherheit als auch ihren Datenschutz überwachen, steuern, garantieren sowie verbessern können.

Die Geschäftswelt befindet sich im Umbruch – und wird in zunehmendem Maß von hochtechnischen Geschäftsvorgängen, plattformabhängigen Businessmodellen, „intelligenten“ Tools und Betriebsanlagen wie auch vernetzten IT-Umgebungen wie auch Anwendungen beeinflusst.

Jedoch birgt die verstärkt digital transformierte, online verbundene und flexiblere Businesswelt massive Bedrohungen: Seit einigen Jahren steigt die Zahl gezielter Internetattacken auf Betriebe jeglicher Größe und Branche.

Alleinig im Jahre 2020 wurden gemäß dem Bundeslagebild Cybercrime 2020 des Bundeskriminalamtes 108.000 Straftaten im virtuellen Raum aufgedeckt, wobei von einer großen Dunkelzahl durch nicht aufgedeckte sowie nicht gemeldete Delikte auszugehen ist. Sehr oft wurden laut dem BKA Ransomware- und DDoS-Angriffe wie auch der Diebstahl digitaler Identitäten erfasst.

In Anbetracht der wachsenden Cyberkriminalität sollte die Implementierung eines gut konzipierten Information Security Management Systems, kurz ISMS, in den Fokus rücken.

Denn als wichtiger Teil einer ganzheitlichen Sicherheitsstrategie zielt ein Informationssicherheitsmanagementsystem darauf ab, die IT-Bedrohungen der heutigen Zeit mit effektiven Regularien, Vorgehensweisen, Maßnahmen wie Instrumenten beherrschbar zu machen und damit die IT-Security und den Datenschutz permanent sicherzustellen.

Kronjuwelen gesichert!

Informationen bilden seit jeher den Grundstein für den unternehmerischen sowie individuellen Gewinn. Egal ob technisches Knowhow, Informationen über die Zielkunden oder Produktions- und Herstellungsverfahren – ohne passende Informationen kann ein Unternehmen weder eine fundiert abgewogene Entscheidung treffen noch Vorteile im Vergleich zu der Konkurrenz erzielen. Deshalb stellen Informationen nützliche Vermögenswerte dar, die mit geeigneten IT-Sicherheitsmaßnahmen abgesichert werden sollten.

Während der Datenschutz nach der Europäischen Datenschutzgrundverordnung den Schutz personenbezogener Daten ebenso wie im Besonderen die Wahrung der informationellen Selbstbestimmung zum Zweck hat, geht es in der Informationssicherheit um die das Wahren des Schutzes von Informationen, Daten und Systemen.
Dementsprechend befasst sich die IT-Sicherheit mit allen technischen und unternehmensprozessualen Vorgehensweisen zur Sicherung von Vertraulichkeit, Verfügbarkeit, Integrität und mitunter von Authentizität und Verbindlichkeit aller schutzwürdigen Informationen in einem Unternehmen. In diesem Zusammenhang ist es unbedeutend, ob sich solche Informationen digital auf einem Server, analog auf einem Geschäftspapier oder in einem „Gehirn“ befinden. Zur Informationssicherheit zählt somit zudem die Datensicherheit: Also die Sicherheit von allen Daten, auch denen, welche keinerlei Bezug zu persönlichen Daten im Sinne der EU Datenschutzgrundverordnung haben.
In der BRD orientiert sich die Informationssicherheit zumeist nach dem IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik, kurz BSI. In Kombination mit den internationalen Zertifizierungsrichtlinien der DIN EN ISO/IEC 27001 bietet dieser Betrieben einen strukturorientierten und systematischen Ansatz für die Einführung und die Implementierung eines Informationssicherheitsmanagementsystems.

Sicherheit durch intelligent definierte Prozeduren!

Ein Informationssicherheitsmanagementsystem ist einfach gesagt ein Managementsystem für die Informationssicherheit. Vermittels der Umsetzung eines Informationssicherheitmanagementsystems auf Basis des IT-Grundschutzes oder den länderübergreifenden Zertifizierungsrichtlinien der DIN EN ISO/IEC 27001 oder ISIS12 werden Planungs-, Lenkungs- und Kontrollmethoden festgelegt, um die Informationssicherheit in einem Unternehmen ständig zu garantieren.
Das übergeordnete Ziel eines Informationssicherheitsmanagementsystems ist es, denkbare Gefahren hinsichtlich der Informationssicherheit zu finden, untersuchen und zu vermindern und dadurch für ein adäquates Sicherheitsniveau von Informationen innerhalb eines Betriebes zu sorgen. Das Managementsystem bildet also die Grundlage für eine strukturierte Implementation von Informationssicherheit innerhalb eines Betriebes.
Aus Sicht des Datenschutzes ist es elementar, dass ein Informationssicherheitsmanagementsystem alle schützenswerten Informationen in einem Unternehmen schützt, ganz egal, ob es sich um personenbezogene Daten handelt oder nicht.

In wenigen Schritten zu mehr Sicherheit!

Die effiziente und effektive Realisierung eines solchen Systems ist ein sehr anspruchsvoller Prozess. Generell wird die Implementierung in verschiedene Schritte eingeteilt. Die nachfolgenden Steps sollten dabei eingeplant werden:

1. Prozessschritt: Definition der Ziele und Festlegung des Leistungsumfanges
Im ersten Prozessschritt müssen die Zielsetzungen des Managementsystems festgelegt werden. Hier müssen sowohl die Einsatzbereiche als auch Limitierungen des Sicherheitsmanagementsystems klar geregelt werden. Zugleich sollte klar definiert werden, was das Managementsystem vollbringen soll beziehungsweise welche Belange und Informationen des Betriebes beschützt werden sollen.

2. Prozessschritt: Bedrohungen ausfindig machen sowie einschätzen
Im zweiten Prozessschritt muss eine umfängliche Prüfung der Einsatzbereiche vollzogen werden. Dabei sollte der derzeitige Stand der Information Security bestimmt werden, um eventuelle Bedrohungen zu erkennen und zu kategorisieren. Für die Bewertung der Risiken können mehrere Methoden genutzt werden. Die wichtigsten Kriterien sind eine klare Übersicht, welche Auswirkungen und Folgen die verschiedenen Risiken haben können und eine Beurteilung ihrer Wahrscheinlichkeit.

3. Prozessschritt: Selektion und Durchführung der Gegenmaßnahmen
Im 3. Prozessschritt werden auf Grundlage der Risikoabwägung Maßnahmen ausgearbeitet, welche die Reduzierung von Bedrohungsszenarien zum Ziel haben und so die passende Antwort auf Sicherheitsvorfälle ermöglichen. Diese gelten für alle Sektoren und Teilbereiche des Unternehmens und schließen nicht nur digitale und virtuelle, sondern auch analoge Kriterien mit ein.

4. Prozessschritt: Leistungsfähigkeit beurteilen und Optimierungen verwirklichen
Im vierten Schritt sollten die beschlossenen und implementierten Strategien in einem stetigen Prozess beobachtet, überprüft sowie weiter abgestimmt werden. Werden hierbei Abweichungen vom Soll-Zustand oder neue Bedrohungen entdeckt, so wird der ganze Managementsystem-Prozess von Neuem durchlaufen.

Informationssicherheitsmanagementsysteme als Garant für starke Informationssicherheit!

Der cyberkriminelle Handel mit Informationen blüht. Kein Geschäftsbetrieb kann es sich momentan aus diesem Grund noch leisten, die Sicherung von Informationen und Daten zu vernachlässigen. Durch die Einführung eines Informationssicherheitsmanagementsystems können Betriebe mit wirksamen Regularien, Verfahrensweisen, Prozessen und Tools jegliche IT-Gefahren mit Blick auf ihre Informationssicherheit und den Datenschutz verringern und angemessen auf Bedrohungssituationen reagieren.
Außerdem fordert die Europäische Datenschutzgrundverordnung mit Art. 32 der EU-DSGVO Unternehmungen dazu auf, ein dem Risikopotential angemessenes Schutzniveau für persönliche Daten zu etablieren. Anderenfalls können hohe Strafen verhängt werden.
Allerdings muss man bedenken, dass ein Informationssicherheitsmanagementsystem kein komplettes Datenschutzmanagementsystem ersetzen, sondern nur um technische wie auch organisatorische Instrumente getreu datenschutzrechtlichen Vorgaben ergänzen kann.
Somit empfiehlt sich eine enge Kooperation zwischen dem Informationssicherheitsbeauftragten und dem Datenschutzbeauftragten, um so eine große Informationssicherheit und einen hohen Datenschutz gewährleisten zu können.

Möchten auch Sie ein Informationssicherheitsmanagementsystem einsetzen? Oder haben Sie noch Fragestellungen zu den Themen Informationssicherheit und Datenschutz? Gerne unterstützen wir Sie mit unserem Knowhow bei der Einführung und dem Betrieb eines Informationssicherheitsmanagementsystem nach DIN EN ISO/IEC 27001, BSI IT-Grundschutz oder ISIS12. Sprechen Sie uns an.