Informationssicherheitskonzept erstellen: Schutz gezielt planen
Ein Sicherheitskonzept für einen abgegrenzten Bereich erstellen
Ein Informationssicherheitskonzept verbindet Schutzbedarf, Risiken und konkrete Schutzmaßnahmen. Es beschreibt, wie ein bestimmter Bereich abgesichert werden soll und welche Grenzen dabei verbleiben. Dafür muss zunächst feststehen, welche Prozesse, Informationen, Systeme und Schnittstellen betrachtet werden.
Ein Konzept ist weder eine reine Produktliste noch eine vollständige Sicherheitsstrategie für das gesamte Unternehmen. Es übersetzt übergeordnete Ziele in eine nachvollziehbare Gestaltung des ausgewählten Bereichs.
Die Ausgangslage verständlich beschreiben
Eine sinnvolle Struktur enthält:
- Zweck und Geltungsbereich des Konzepts;
- wesentliche Informationen, Abläufe und Abhängigkeiten;
- Schutzbedarf und relevante Risikoszenarien;
- vorhandene und zusätzlich geplante Maßnahmen;
- Verantwortliche, Umsetzungsstand und verbleibende Risiken;
- vorgesehene Kontrollen und Anlässe zur Aktualisierung.
Die Begründung der Maßnahmen sollte erkennbar sein. Eine technische Einstellung ohne Bezug zum Schutzbedarf erklärt noch nicht, welches Problem sie lösen soll.
Technische und organisatorische Vorkehrungen verbinden
Beispiel: Für eine Kundenplattform werden Zugriffsrechte, Protokollierung und Datensicherung beschrieben. Dazu gehören auch die Freigabe neuer Konten, die Auswertung auffälliger Ereignisse und die Zuständigkeit für Wiederherstellungstests. Die Technik benötigt damit passende betriebliche Abläufe.
Offene Punkte werden nicht durch Formulierungen wie „ist sicherzustellen“ verdeckt. Sie erhalten einen Verantwortlichen und einen nachvollziehbaren Bearbeitungsstand.
Konzept und Betrieb zusammenhalten
Nach der Einführung wird geprüft, ob die Maßnahmen wie vorgesehen funktionieren. Bei neuen Datenflüssen, geänderten Diensten oder wesentlichen Befunden wird das Konzept aktualisiert. Die freigegebene Fassung muss zum tatsächlichen Zustand passen.
Die IT-Grundschutz-Methodik sowie BSI-Standard 200-3 bieten Orientierung für die Verbindung von Sicherheitskonzeption und Risikobetrachtung. Ihre Anwendung muss auf den jeweiligen Bereich zugeschnitten werden.
Das Konzept baut auf einer Bewertung konkreter Risikoszenarien auf. Für die Umsetzung werden daraus anwendbare Sicherheitsrichtlinien und überprüfbare Arbeitsaufträge abgeleitet.
Quellen und fachliche Grundlagen
- BSI-Standard 200-2 – IT-Grundschutz-Methodik – Bundesamt für Sicherheit in der Informationstechnik
- BSI-Standard 200-3 – Risikomanagement – Bundesamt für Sicherheit in der Informationstechnik