Informationssicherheitsmanagement in der IT: Aufbau und Steuerung
Wie ein ISMS die Informationssicherheit steuert
Informationssicherheitsmanagement verbindet Ziele der Unternehmensleitung mit der praktischen Arbeit in Fachbereichen und IT. Es legt fest, wie Risiken bewertet, Schutzmaßnahmen entschieden und Ergebnisse überprüft werden. Dadurch entsteht ein wiederholbarer Entscheidungsprozess, der auch bei Personalwechsel oder neuen Dienstleistungen weiter funktioniert.
Ein ISMS umfasst mehr als ein Dokumentenverzeichnis. Regeln müssen bekannt sein, Verantwortliche müssen handeln können und die Leitung benötigt Informationen über offene Risiken und Handlungsbedarf.
Die Bestandteile greifen ineinander
- Ziele geben vor, welche Ergebnisse das Unternehmen erreichen will.
- Der Geltungsbereich beschreibt, welche Bereiche und Schnittstellen betrachtet werden.
- Die Risikobewertung begründet, wo Schutzmaßnahmen erforderlich sind.
- Zuständigkeiten und Abläufe organisieren deren Umsetzung.
- Kontrollen zeigen, ob Maßnahmen funktionieren und wo Anpassungen nötig sind.
Diese Bestandteile werden nicht einmalig abgeschlossen. Verändert sich ein Dienst, können sich auch Risiken, Zuständigkeiten und erforderliche Nachweise verändern.
Ein Entscheidungsweg aus der Praxis
Beispiel: Die Wiederherstellung eines Kundensystems dauert im Test länger als vorgesehen. Das Ergebnis wird dokumentiert und mit den betrieblichen Anforderungen verglichen. Anschließend wird entschieden, ob Technik, Ablauf oder Ressourcen angepasst werden müssen. Ein weiterer Test zeigt, ob die Änderung genügt.
Der Nutzen liegt in diesem geschlossenen Ablauf: Feststellung, Bewertung, Entscheidung, Umsetzung und Kontrolle. Eine Sammlung erfolgreicher Sicherungsmeldungen würde das Problem nicht ausreichend erklären.
Verantwortung und Transparenz erhalten
Die Unternehmensleitung legt Prioritäten fest und stellt erforderliche Ressourcen bereit. Prozessverantwortliche bewerten Auswirkungen auf ihre Aufgaben, während die ISMS-Koordination den Gesamtzusammenhang im Blick behält. Externe Unterstützung kann diese Arbeit erleichtern, ersetzt aber keine verbindlichen internen Entscheidungswege.
ISO/IEC 27001 beschreibt Anforderungen an das Managementsystem. BSI-Standard 200-1 erläutert dessen organisatorischen Aufbau und Betrieb.
Die Steuerung setzt voraus, dass Rollen und Entscheidungsrechte im ISMS feststehen. Der Verbesserungszyklus beschreibt, wie Erkenntnisse aus dem Betrieb zu überprüften Änderungen werden.
Quellen und fachliche Grundlagen
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO