ISMS – Aufbau und Zertifizierung

Systematisches Vorgehen = Erfolg

Ein Informationssicherheits-Managementsystem (ISMS) umfasst die Politik, Verfahren, Richtlinien und damit verbundene Ressourcen und Tätigkeiten, die von einer Organisation gesteuert werden, um ihre Informationswerte zu schützen.

In einem vitalen Informationssicherheits-Managementsystem gibt es daher viele Bausteine.

Richtlinien und Sicherheitskonzepte müssen definiert oder aktualisiert werden. Risiken gilt es fortwährend neu zu bewerten, Massnahmen zu definieren und ihre Umsetzung zu überwachen. Auditpläne müssen erstellt, vorbereitet, durchgeführt und nachbereitet werden. Verbesserungspotenzial soll fortwährend identifiziert und realisiert werden.
Auch das Sicherheitsbewusstsein der im Umfang des ISMS tätigen Menschen gilt es zu trainieren und fortwährend zu sensibilisieren.

Das ISMS wird als Prozess über einen PDCA-Zyklus (Plan - Do - Check - Act) organisiert.
Die ISO/IEC 27001-Norm gibt als weltweit gültiger Standard Informationssicherheitsziele vor, die unternehmensseitig durch festgelegte Massnahmen erfüllt werden müssen.

Wichtig ist hierbei, dass das Top-Management die Einführung und den Betrieb eines Informationssicherheits-Managementsystems (ISMS) unterstützt und fördert und als Managementaufgabe versteht. Es muss im Management ein Verständnis vorhanden sein, welche Assets und Geschäftsprozesse geschützt werden müssen. Das Top-Management muss für die Einführung und den Betrieb eines Informationssicherheits-Managementsystems (ISMS) auch ausreichend Ressourcen bereitstellen. Dieser Punkt ist besonders heikel, da eine Abschätzung des Gesamt-Investitionsvolumens für die Einführung und den Betrieb eines Informationssicherheits-Managementsystems (ISMS) frühestens nach der Durchführung einer initialen Risikobetrachtung möglich ist.

Die Informationssicherheits-Massnahmen, die von der Organisation zur Schaffung der Informationssicherheit ausgewählt werden, müssen geeignet sein und angemessen umgesetzt werden.

Damit auf allen Ebenen der Organisation ein Verständnis für Informationssicherheit entsteht, müssen alle Beteiligten frühzeitig in die Planung und Umsetzung des Informationssicherheits-Managementsystems (ISMS) einbezogen werden. Eine angemessene Kommunikation ist hierzu unbedingt erforderlich.

Ein dementsprechend nachhaltig und wirksam aufgestelltes ISMS lässt sich sehr gut als Wettbewerbsfaktor nutzen. Es kann ein wichtiges Unterscheidungsmerkmal zur Konkurrenz sein oder ist inzwischen häufig eine Grundvoraussetzung, um an bestimmten Bieterverfahren und Ausschreibungen teilzunehmen.

Für den nötigen Nachweis eignet sich am besten eine anerkannte Zertifizierung, z. B. in Form eines ISO/IEC 27001-Zertifikates. Auf Basis dieses global weit verbreiteten Standards ist so nachgewiesen, dass im ISMS die zugrundeliegenden gültigen Qualitätsmerkmale erfüllt sind.
Diese sind vor allem:

• Kontext der Organisation und der Anwendungsbereich des ISMS ist festgelegt
• Die Sicherheitsleitlinie und die Ziele des ISMS ist definiert
• Ein Dokumentationsrahmenwerk ist erstellt
• Wichtige Assets sind identifiziert
• Ein Risikomanagement ist etabliert
• Informationssicherheits-Massnahmen wurden ermittelt, priorisiert und realisiert
• Das ISMS wird gemessen, auditiert und von der Unternehmensleitung bewertet
• Es ist ein Kontinuierlicher Verbesserungsprozess eingeführt.

In einem einheitlichen und fest definierten Zertifizierungsverfahren erhalten Sie von Ihrer Zertifizierungsstelle die entsprechende Konformitätsbewertung über die Erfüllung der im ISO/IEC 27001-Standard geforderten Eigenschaften.