Wissen zur Informationssicherheit
Informationssicherheit beginnt fast nie bei der Technik. Sie beginnt bei der Frage, welche Informationen ein Unternehmen überhaupt hat, was ihr Ausfall kosten würde und wer dafür geradesteht. Erst danach wird über Maßnahmen entschieden. Dieses Wissen zur Informationssicherheit folgt derselben Reihenfolge.
Welcher Standard passt?
Vier Regelwerke stehen zur Auswahl, und die Wahl fällt seltener nach fachlichen als nach äußeren Gründen: Ein Kunde verlangt einen Nachweis, eine Ausschreibung setzt ihn voraus, eine Richtlinie erfasst die Branche.
| Standard | Passt, wenn |
|---|---|
| ISO 27001 | ein international anerkanntes Zertifikat verlangt wird |
| VdS 10000 | ein schlankerer Einstieg für den Mittelstand gesucht ist |
| TISAX | Sie in der Automobilbranche zuliefern |
| NIS-2 | Ihr Sektor von der Richtlinie erfasst ist – dann ist es keine Wahl |
Für den Finanzsektor kommt DORA hinzu. Ein Vergleich der drei Managementsystem-Standards mit Blick auf Aufwand und Nachweiskraft steht unter ISMS-Beratung.
Die Kostenfrage lässt sich getrennt betrachten: ISO 27001, VdS 10000 und TISAX unterscheiden sich dabei erheblich.
Wie ein ISMS entsteht
Ein Managementsystem ist kein Ordner, sondern ein Kreislauf: festlegen, umsetzen, prüfen, verbessern. Der Aufbau ist unter Informationssicherheitsmanagementsystem beschrieben.
Das Herzstück ist die Risikobetrachtung. Sie entscheidet, welche Maßnahmen nötig sind – und ebenso, welche man begründet unterlassen darf. Ohne sie wird jeder Maßnahmenkatalog zur Wunschliste. Wie Risiken erfasst, bewertet und behandelt werden, steht unter Risikomanagement im ISMS.
Getragen wird das System von einer Rolle, die es besetzen muss. Der externe Informationssicherheitsbeauftragte übernimmt sie ab 257 € im Monat; die Leistungsumfänge stehen unter Kosten.
Woran Projekte scheitern
Nach unserer Erfahrung liegt es fast nie an fehlender Technik.
Die Leitung delegiert vollständig. Ein ISMS, das allein in der IT hängt, erreicht die Bereiche nicht, in denen die Informationen tatsächlich entstehen – Vertrieb, Personal, Einkauf.
Der Geltungsbereich wird zu groß gewählt. Wer im ersten Anlauf das ganze Unternehmen erfasst, verliert sich in Dokumentation. Ein enger, sauber begründeter Geltungsbereich ist zertifizierbar; ein zu weiter ist es oft nicht.
Die Wirksamkeit wird nicht gemessen. Maßnahmen werden beschlossen und dann nicht überprüft. Beim ersten Audit fehlen genau die Nachweise, die zeigen sollen, dass das System läuft.
Der Notfall ist nicht geprobt. Ein Notfallhandbuch, das niemand gelesen hat, hilft im Ernstfall nicht. Wie ein tragfähiges Notfallmanagement aufgebaut wird, steht unter Business Continuity Management – von der Business-Impact-Analyse über das Notfallhandbuch bis zu den Notfallübungen.
Der Mensch und die Angriffsfläche
Die beiden am schnellsten wirksamen Maßnahmen sind zugleich die unspektakulärsten.
Sehen, was von außen sichtbar ist. Ein Website-Pentest sucht Schwachstellen unter realistischen Bedingungen; die Schwachstellenanalyse prüft wiederkehrend und priorisiert die Befunde.
Die Belegschaft vorbereiten. Der überwiegende Teil erfolgreicher Angriffe beginnt mit einer E-Mail. Eine Phishing-Simulation zeigt ohne Schuldzuweisung, wo die Organisation steht; vertieft wird das mit Phishing-Awareness und Security Awareness.
Geführt wird das Ganze in der ISMS-Software, in der Normenkatalog, Risiken, Maßnahmen und Nachweise zusammenlaufen.
Beiträge zur Informationssicherheit
- ISMS aufbauen – sieben Schritte von der Bestandsaufnahme bis zum Audit
- Risikomanagement im ISMS – Risiken erkennen, bewerten und behandeln
- Datenklassifizierung – Schutzbedarf feststellen und Umgangsregeln daran knüpfen
- Richtlinie für Mitarbeitende – kurz genug, um gelesen zu werden
- Lieferantenaudit – Dienstleister nach Kritikalität prüfen
- BSI C5 – der Nachweis für Cloudanbieter und was Kunden daraus lesen
- DIN SPEC 27076 – der CyberRisikoCheck für kleine Betriebe
- Cyberversicherung – was sie deckt und welche Obliegenheiten sie verlangt
- Personelle Sicherheit – vor, während und nach dem Beschäftigungsverhältnis
- Physische Sicherheit – Zonen, Zutritt, Serverraum und Entsorgung
- Cloud-Sicherheit – wo die Verantwortung des Anbieters endet
- Website-Sicherheit prüfen – acht Prüfungen, die Sie selbst durchgehen können
- Schwachstellenscan oder Pentest – was wann das Richtige ist
- ISO 27701 – Datenschutz als Erweiterung des Managementsystems
- SOC 2 – der Prüfbericht, den US-Kunden verlangen
- NIS-2 und die Geschäftsleitung – billigen, überwachen, sich schulen lassen
Wissen in den anderen Bereichen
Kontakt
Sie wissen nicht, welcher Standard für Sie infrage kommt? Diese Frage klärt sich meist im ersten Gespräch – kostenlos und unverbindlich.
- Telefon: +49 6188 99 04 36
- E-Mail: office@dsb-datenschutz.de
- Kontaktformular: Anfrage senden
- Zur Informationssicherheit