ISMS Richtlinien erstellen: klare Sicherheitsregeln im IT-Alltag
Sicherheitsrichtlinien so formulieren, dass sie anwendbar sind
Eine ISMS-Richtlinie beschreibt, welches Verhalten für einen abgegrenzten Bereich erwartet wird. Sie sollte beantworten, für wen sie gilt, wer Entscheidungen trifft und wie Ausnahmen behandelt werden. Allgemeine Aussagen wie „Zugänge müssen sicher sein“ reichen als Arbeitsgrundlage nicht aus.
Die Regeln werden aus den tatsächlichen Risiken und Abläufen abgeleitet. Eine Vorlage kann beim Aufbau helfen, muss aber auf vorhandene Werkzeuge, Zuständigkeiten und Arbeitsbedingungen angepasst werden.
Eine klare Regel braucht mehr als ein Verbot
Für eine Zugriffsregel lässt sich beispielsweise festlegen:
- wie ein Zugang beantragt und fachlich freigegeben wird;
- welche Rechte für die jeweilige Aufgabe vorgesehen sind;
- wer befristete oder privilegierte Zugänge überprüft;
- wie Rechte bei Aufgabenwechsel oder Austritt angepasst werden;
- wie eine dringende Ausnahme genehmigt und nachkontrolliert wird.
Andere Themen wie mobiles Arbeiten oder der Umgang mit Kundeninformationen benötigen entsprechend eigene, verständliche Vorgaben. Einzelne technische Umsetzungsschritte können in einer ergänzenden Arbeitsanweisung beschrieben werden.
Regeln mit den betroffenen Personen prüfen
Beispiel: Eine Richtlinie verbietet jede Übertragung von Dateien außerhalb des Firmennetzes. Das Supportteam benötigt jedoch einen sicheren Weg für Diagnoseunterlagen. Statt einer praktisch unvermeidbaren Umgehung muss ein geeigneter, freigegebener Übertragungsweg mit nachvollziehbaren Grenzen beschrieben werden.
Freigabe und Bekanntgabe organisieren
Vor der Einführung prüfen die fachlich Verantwortlichen, ob die Regeln umsetzbar sind. Nach der Freigabe werden sie den betroffenen Personen zugänglich gemacht und bei Bedarf erläutert. Fragen und festgestellte Abweichungen zeigen, wo die Formulierung verbessert werden muss.
Eine Richtlinie gilt nicht als wirksam umgesetzt, nur weil sie veröffentlicht wurde. Stichproben und Rückmeldungen aus der Anwendung müssen zeigen, ob die vorgesehenen Abläufe tatsächlich funktionieren.
Eine Regel funktioniert nur mit passenden Zuständigkeiten und Befugnissen. Ihre gültige Fassung, Freigabe und Änderungshistorie gehören in die ISMS-Dokumentenverwaltung.
Quellen und fachliche Grundlagen
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik
- AA22-131A – Schutz von Managed Service Providern und ihren Kunden – CISA und internationale Sicherheitsbehörden