Informationssicherheit aufbauen
Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am
Ein Managementsystem für Informationssicherheit klingt nach Konzernstruktur mit eigenem Beauftragten und Aktenschränken voller Richtlinien. In der Praxis geht es um etwas Einfaches: zu wissen, welche Informationen und Systeme schützenswert sind, welche Risiken bestehen, welche Maßnahmen dagegen wirken und ob sie tatsächlich wirken.
Der Anlass ist im Mittelstand selten die eigene Überzeugung. Meist sind es Kunden, die Nachweise verlangen, oder gesetzliche Pflichten. Beides führt zur selben Aufgabe, und die lohnt sich unabhängig vom Auslöser.
Woran Sie es merken
- Ein Kunde verlangt ein Zertifikat oder einen ausgefüllten Fragebogen, und die Antworten müssen erst erarbeitet werden.
- Es gibt Sicherheitsmaßnahmen, aber keine Systematik, nach der entschieden wurde.
- Richtlinien existieren, sind aber Jahre alt und im Alltag unbekannt.
- Niemand prüft, ob die eingeführten Maßnahmen noch wirken.
Warum das passiert
Sicherheitsmaßnahmen entstehen im Mittelstand meist als Reaktion: auf einen Vorfall, auf eine Empfehlung des Dienstleisters, auf einen Bericht in der Presse. Jede einzelne ist sinnvoll, aber es fehlt der gemeinsame Rahmen, der zeigt, wo noch Lücken sind und wo bereits mehr getan wird als nötig. Ohne diesen Rahmen ist auch nicht feststellbar, ob das Sicherheitsniveau steigt oder ob nur die Zahl der Werkzeuge wächst.
So gehen wir vor
- Geltungsbereich und Werte festlegen. Wir bestimmen, welche Bereiche, Standorte und Prozesse einbezogen werden und welche Informationen und Systeme besonders schützenswert sind. Ein enger, gut umgesetzter Geltungsbereich ist mehr wert als ein weiter auf Papier.
- Risiken bewerten. Wir erfassen Bedrohungen und Schwachstellen für diese Werte, bewerten sie nach Eintrittswahrscheinlichkeit und Auswirkung und entscheiden je Risiko, ob es reduziert, übertragen, vermieden oder bewusst getragen wird. Diese Entscheidung trifft die Leitung, nicht die IT.
- Maßnahmen und Richtlinien einführen. Wir setzen die Maßnahmen um, die aus der Risikobewertung folgen, und schreiben nur die Richtlinien, die tatsächlich gebraucht werden, in einer Sprache, die im Betrieb verstanden wird.
- Wirksamkeit prüfen und verbessern. Wir richten wiederkehrende Prüfungen ein, intern und wo nötig extern, und sorgen dafür, dass Vorfälle, Prüfergebnisse und Änderungen im Unternehmen zurück in die Risikobewertung fließen.
Was Sie davon haben
- Antworten auf Kundenfragebögen in Stunden statt in Wochen.
- Sicherheitsmaßnahmen, die aus einer Bewertung folgen statt aus Einzelanlässen.
- Eine Grundlage, auf der eine Zertifizierung möglich ist, wenn sie verlangt wird.
Aus unseren Projekten
Der häufigste Fehler ist ein zu weiter Geltungsbereich. Wer im ersten Anlauf das gesamte Unternehmen einbezieht, produziert Dokumente statt Sicherheit und verliert nach einigen Monaten die Unterstützung im Haus. Wir empfehlen, mit den Prozessen zu beginnen, die Kunden interessieren oder die gesetzlich betroffen sind, und danach zu erweitern. Der zweite regelmäßige Befund: Der Aufwand für die Erstzertifizierung wird überschätzt, der Aufwand für die Aufrechterhaltung unterschätzt. Ein Zertifikat ist drei Jahre gültig und wird jährlich überwacht, und diese jährliche Arbeit muss von Anfang an eingeplant sein.
Gut zu wissen
Für den Mittelstand gibt es mehrere Wege. Eine Zertifizierung nach ISO 27001 ist international anerkannt und wird von Kunden am häufigsten verlangt. Das BSI bietet die Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz an, die konkreter in den Anforderungen ist. Für den Einstieg gibt es abgestufte Vorgehensweisen wie die Basis-Absicherung des IT-Grundschutzes. In der Automobilbranche verlangen Hersteller regelmäßig TISAX, ein Prüf- und Austauschverfahren auf Basis der Anforderungen des Verbands der Automobilindustrie. Welcher Weg passt, entscheidet sich weniger nach Inhalt als danach, was Ihre Kunden anerkennen.
Häufige Fragen
Brauchen wir einen eigenen Informationssicherheitsbeauftragten?
Eine benannte Rolle ja, eine eigene Stelle in den meisten mittelständischen Unternehmen nicht. Wichtig ist, dass die Person unabhängig genug ist, um Risiken auch dann zu benennen, wenn sie unbequem sind, und dass sie direkten Zugang zur Geschäftsleitung hat. In kleineren Häusern wird die Rolle häufig extern besetzt und im Haus durch eine Ansprechperson ergänzt.
Was kostet eine Zertifizierung?
Die Kosten der prüfenden Stelle sind meist der kleinere Teil. Der größere Teil ist die interne Arbeit für Aufbau, Dokumentation und Umsetzung der Maßnahmen, verteilt über sechs bis zwölf Monate. Belastbare Aussagen sind erst nach der Festlegung des Geltungsbereichs möglich, weil dieser den Aufwand stärker bestimmt als die Unternehmensgröße.
Sprechen wir über Informationssicherheit aufbauen
Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind.
Weiterführend
Zurück zum Feld Sicherheit und Resilienz