Information Security Mgmt. System

Warum sollten Sie ein Information Security Management System einsetzen?

Weil:

Informationssicherheitsmanagementsysteme (kurz: ISMS) ein wesentlicher Bestandteil von Cyber Security für Unternehmen sind
zur historisch gewachsenen Struktur in öffentlichen Einrichtungen häufig nicht die Informationssicherheit gehört
durch die heutige Digitalisierung die Abhängigkeit von IT-Services steigt
Hacker-Angriffe auf bspw. öffentliche Einrichtungen vermieden werden müssen

Ein ISMS hilft dabei, Daten und Systeme vor Cyber-Angriffen zu schützen und den Datenschutz zu verbessern!

Rechtliche Anforderungen: KRITIS

Gemäß dem IT-Sicherheitsgesetz sind seit 2015 Qualitätsanforderungen und Meldepflichten zu erfüllen, die von den Betreibern kritischer Infrastrukturen gegenüber dem BSI und der BNetzA verlangt werden
Gesetzliche Vorgabe für Organisationen mit Versorgungsauftrag der Bevölkerung kritischer Größe ab 01.01.2018
Verpflichtung zur Implementierung eines unternehmensweiten Information Security Management System („ISMS“)
Empfehlung: Verwendung von ISO 27001 oder eines vergleichbaren Branchenstandards (z.B. ISO 27799 oder B3S) in Verbindung mit BSI Grundschutz
Einreichung eines ISMS Zertifikats beim BSI

§75c SGB (Sozialgesetzbuch)

Im 4. Quartal 2022 wird die neue ISO Norm 27001 und folgerichtig auch die ISO 27002, die die Vorgaben aus der 27001 mit konkreten Maßnahmen untermauert, durch die International Organisation for Standardisation (ISO, UK) veröffentlicht.

Die ISO 27002 definiert einen breiten Katalog allgemeiner Sicherheitsmaßnahmen, die Unternehmen bei der Umsetzung der Anforderungen aus dem Annex A von ISO 27001 unterstützen sollten – und hat sich als praxisnaher Standard-Leitfaden in vielen IT- und Security-Abteilungen als anerkanntes Werkzeug etabliert. Anfang 2022 wurde ISO 27002 umfassend überarbeitet und aktualisiert – ein nach Ansicht vieler Experten überfälliger Schritt, wenn man die dynamische Entwicklung in der IT in den vergangenen Jahren betrachtet und weiß, dass Normen alle 5 Jahre auf Aktualität überprüft werden.

Für Unternehmen mit einem Zertifikat nach ISO 27001 – oder Betriebe, die die Zertifizierung demnächst angehen wollen – sind die jetzt auf den Weg gebrachten Neuerungen in doppelter Hinsicht relevant: Zum einen mit Blick auf notwendige Aktualisierungen der eigenen Sicherheitsmaßnahmen; zum anderen aber auch, weil diese Änderungen auf die zum Jahresende erwartete Aktualisierung von ISO 27001 durchschlagen werden und damit für alle künftigen Zertifizierungen und Rezertifizierungen relevant sein werden. Grund genug also, die neue ISO 27002 genauer unter die Lupe zu nehmen.

Neue Struktur und neue Themenbereiche

Die erste augenfällige Veränderung von ISO 27002:2022 ist die aktualisierte und deutlich gestraffte Struktur des Umsetzungsleitfadens zur Norm: Statt der bislang 114 Sicherheitsmaßnahmen (Controls) in 14 Abschnitten umfasst der Referenzsatz der aktualisierten Version ISO 27002 jetzt noch 93 Controls, die in 4 Themenbereichen übersichtlich untergliedert und zusammengefasst sind:

- 37 Sicherheitsmaßnahmen im Bereich „Organizational controls“

- 8 Sicherheitsmaßnahmen im Bereich „People controls“

- 14 Sicherheitsmaßnahmen im Bereich „Physical controls“

- 34 Sicherheitsmaßnahmen im Bereich „Technological controls“

Trotz der reduzierten Anzahl von Sicherheitsmaßnahmen wurde lediglich das Control „Removal of Assets“ tatsächlich gestrichen. Die Verschlankung ist darauf zurückzuführen, dass 24 Sicherheitsmaßnahmen aus bestehenden Controls zusammengefasst und neu strukturiert wurden, um den Schutzzielen fokussierter gerecht zu werden. Weitere 58 Sicherheitsmaßnahmen wurden überarbeitet und mit zeitgemäßen Anforderungen angepasst.

Neue Sicherheitsmaßnahmen

Darüber hinaus – und das ist der wahrscheinlich spannendste Teil der Aktualisierung – wurde ISO 27002 in der neuen Version um 11 zusätzliche Sicherheitsmaßnahmen erweitert. Für Security-Experten wird keine dieser Maßnahmen überraschend sein, in der Summe setzen sie aber ein starkes Signal und helfen Unternehmen dabei, ihre Organisationsstrukturen und Sicherheitsarchitekturen zeitgemäß gegen heutige und zukünftige Bedrohungsszenarien zu wappnen.

Die neuen Maßnahmen sind:

Threat Intelligence

Erfassung, Konsolidierung und Analyse aktueller Bedrohungsinformationen ermöglicht Unternehmen, sich in einem zunehmend dynamischen und sich ständig weiterentwickelnden Bedrohungsumfeld auf dem Laufenden zu halten. Die evidenzbasierte Analyse von Informationen über Angriffe wird künftig eine Schlüsselrolle in der Informationssicherheit zur Entwicklung bestmöglicher Verteidigungsstrategien übernehmen.

Information Security for the Use of Cloud Services

Viele Unternehmen verlassen sich heute auf Cloud-basierte Services. Damit verbunden sind neue Angriffsvektoren und einhergehend veränderte und deutlich größere Angriffsflächen. In Zukunft müssen Unternehmen angemessene Schutzmaßnahmen für deren Einführung, Nutzung, Administration berücksichtigen und in ihren vertraglichen Regeln mit Cloud Service Providern verbindlich festlegen.

ICT Readiness for Business Continuity

Verfügbarkeit der Informations- und Kommunikationstechnik (IKT) und ihrer Infrastrukturen ist essentiell für den laufenden Geschäftsbetrieb in Unternehmen. Grundlage für resiliente Organisationen sind geplante Geschäftskontinuitätsziele und daraus abgeleitete, umgesetzte und überprüfte ITK‑Kontinuitätsanforderungen. Die Anforderungen an die zeitnahe, technische Wiederherstellung der ITK nach einem Ausfall begründen tragfähige Business-Continuity-Konzepte.

Physical Security Monitoring

Einbrüche, bei denen sensible Daten oder Datenträger aus dem Unternehmen gestohlen oder kompromittiert werden, stellen für Unternehmen ein erhebliches Risiko dar. Technische Kontrollen und Überwachungssysteme haben sich bewährt, um potenzielle Eindringlinge abzuschrecken bzw. deren Eindringen unmittelbar zu detektieren. Diese werden künftig Standardbausteine ganzheitlicher Sicherheitskonzepte zum Erkennen und Abschrecken unbefugten physischen Zutritts sein.

Configuration Management

Fehlerhaft konfigurierte Systeme können von Angreifern missbraucht werden, um Zugang zu kritischen Ressourcen zu erhalten. Während zuvor das systematische Konfigurationsmanagement als Teilmenge des Änderungsmanagements unterrepräsentiert war, wird es jetzt als eigenständige Sicherheitsmaßnahme fokussiert. Es fordert Unternehmen auf, die korrekte Konfiguration von Hardware, Software, Diensten und Netzen zu überwachen und ihre Systeme angemessen zu härten.

Information Deletion

Seit dem Inkrafttreten der Datenschutz-Grundverordnung müssen Unternehmen über geeignete Mechanismen verfügen, um personenbezogene Daten auf Wunsch zu löschen und sicherzustellen, dass diese nicht länger gespeichert werden als nötig. Diese Anforderung wird in ISO 27002 auf alle Informationen ausgeweitet. Sensible Informationen sollten nicht länger als nötig aufbewahrt werden, um das Risiko einer unerwünschten Offenlegung zu vermeiden.

Quelle: dqsglobal

Für Banken und Finanzdienstleister - DORA

Die Finanzbranche hat bereits viele Regelungen und gesetzliche Vorgaben zu erfüllen. Eine prozessorientierte Produktion von Services, Security-Management-Systeme und Interne Kontrollsysteme (IKS) sind häufig bereits etabliert. Regelmäßige interne und externe Prüfungen gehören zum Tagesgeschäft. Und dennoch können die Service- und Security-Management-Systeme häufig verbessert werden, weil zum Einen sich die gesetzlichen und normativen Vorgaben permanent entwickeln und der regulatorische Rahmen immer enger gesteckt wird. Gleichzeitig entwickeln sich die technischen Möglichkeiten rasant, wodurch sich für Cyberattacken neue Schwachstellen ergeben können und zugleich neue Abwehrtechnologien zur Verfügung stehen. Durch unsere langjährigen Erfahrungen mit den regulatorischen Anforderungen (z. B. DORA), den ISO Normen für das Service- und Security-Management, dem BSI-Grundschutzkatalog, den technischen Security-Lösungen einschlägiger Markenhersteller sowie den langjährigen Erfahrungen im Banken und Finanzdienstleistungsumfeld sind wir auch für diese Branche ein idealer Partner.

Lesen Sie dazu auch den Fachartikel von Dr. Steffen Scholtze - veröffentlicht auf LinkedIn.

Gute Gründe für ein ISMS

Risikominimierung
Kostenreduzierung
Steigerung des Sicherheitsniveaus
Verbesserte Außenwirkung
Erhöhung der Transparenz der Geschäftsprozesse und IT-Systeme

Fazit

Viele öffentliche Einrichtungen haben noch kein ISMS gemäß den Anforderungen implementiert oder sind erst dabei, ein ISMS aufzubauen. Sicherheitslücken sind nicht auszuschließen. Compliance ohne ein vollständiges ISMS ist nicht nachweisbar.

Sicherheitslücken gefährden Patienten, den Ruf sowie den Betrieb der medizinischen Einrichtung und verursachen erhebliche Kosten
Ohne ein funktionierendes ISMS System kann kein Krankenhaus mehr existieren

Die Bundesregierung hat die Defizite im Gesundheitswesen erkannt und gehandelt
Verschärfung der Anforderungen mit Vorschrift zur Implementierung eines ISMS
Digitalisierungskampagne im Gesundheitswesen
Bereitstellung von rund 3,2 Mrd. Euro + Beitrag der Länder mit der Krankenhausstrukturfonds–Verordnung (KHSFV)
Mindestens 15% sind für Informationssicherheit auszugeben.

Professionalisierung & Zertifizierung der IT Abteilung
Ausbau des ISMS / Roll Out des ISMS in weitere Abteilungen
Standardisierung, Digitalisierung, Automatisierung häufig wiederkehrender Geschäftsanforderungen (Services)

Schauen Sie in unseren Terminkalender und buchen Sie Ihre nächste IT-Security-Foundation-Schulung

Das DSP ISMS Enterprise Management System

Security Organisationen, die an ISO 27001 / B3S / TISAX o.ä. Standard orientiert ein ISMS implementieren wollen

Kurzbeschreibung - ISMS

Das DSP ISMS Enterprise Management System unterstützt die Risiko- und Security-Organisation ganzheitlich bei dem Betrieb eines zertifizierungsfähigen Information Security Management Systems gemäß Best Practices und der Norm ISO 27001 und abgeleiteten Standards.
Mit den im Standard ausgelieferten Funktionen, Prozessen und Verfahren erfüllt das System alle normativen Anforderungen und dokumentiert alle Security relevanten Vorgänge. Im Security-Dashboard hat die Security Organisation einen sofortigen Überblick über die Sicherheitslage.
Mit den im ISMS-Dashboard im Standard ausgelieferten Statistiken und Reports mit Drill-Down-Funktion, kann die Security-Organisation sehr schnell sicherheitsrelevante Vorgänge identifizieren, den Status feststellen und steuernd eingreifen.
Das Risikomanagement sowie das Dokumentenmanagement sind nahtlos integriert. Ihr Zertifizierungs-Audit bestehen Sie auf dieser Basis mit überschaubarem Aufwand und stellen sicher, dass Sie keine wichtige Anforderung übersehen haben.
Häufig wiederkehrende sicherheitsrelevante Vorgänge wie z.B. Mitarbeiter Onboarding werden vom System prozessorientiert digitalisiert und automatisiert.
Mit den nützlichen DSP-Add-On Modulen wie DSP IAM werden Zugangsberechtigungen für AD-gesteuerte Systeme voll automatisiert beantragt, genehmigt, umgesetzt und bei Bedarf wieder entzogen. Mit dem DSP Prüfungsmodul werden vergebene Zugangsberechtigungen gemäß ISO 27001 Anhang A 9.2.5 und 9.2.6 automatisiert geprüft und bei Bedarf entzogen. Dadurch wird Information Security in die Prozessketten integriert hergestellt und gleichzeitig sinkt der manuelle Aufwand der gesamten Organisation signifikant.
Das System basiert auf der Matrix42-Applikation und ist ein datenbankgestütztes ERP-System, adaptiert auf die Bedürfnisse des Information Security Managements. Mit dem System werden Information Assets (Informationswerte) prozessorientiert gemanaged.
Meldewege für Information Security Incidents werden genau so effizient unterstützt wie Security Changes und Security Service Requests. Mit dem integrierten Rollen- und Rechte-Konzept bildet die Applikation Ihre Security-Organisation ab. So wird sichergestellt, dass Informationssicherheit umfassend in Ihrer Organisation unterstützt wird.

Standardfunktionen des DSP ISMS Enterprise Management Systems

Integriertes ISMS Portal & ISMS Dashboard
Dokumentenmanagement & Risikomanagement
Information Asset Management
Incident, Change, Service Request Management
Reporting
QM und KVP Management
Standardverfahren für alle normativ geforderten, regelmäßigen Pflegearbeiten
Service Katalog & Service Desk
Security Operation Center (SOC)
Matrix42: Ticket- und Workflow-Engine

Vorhandene und vom Kunden bereitzustellende Systeme können integriert werden, z.B.:

Monitoring
Identity & Access Management
Firewall, Viruswall
Network Access Control (NAC)
Endpoint Security
Mobile Device Management
....

Voraussetzung: Bereitstellung der Matrix42-Applikation durch den Kunden (Alternativ: Lieferung und Basis-Implementierung durch DSP). Durch Integration weiterer technischer Systeme kann das DSP ISMS Enterprise Management System zu einem Security Incident and Event Management System (SIEM) ausgebaut werden.

Wovon Sie und Ihr Unternehmen profitieren:

Sicherstellung, dass die Security–Vorgaben der Leitung strukturiert und prozessorientiert umgesetzt werden
Bereitstellung einer geeigneten Ressource zur Unterstützung des ISMS
Etablierung eines Rollen und Rechte–Konzeptes für die Security–Organisation
Bereitstellung einer Plattform zur Veröffentlichungder von der Leitung vorgebebenen Security–Regelungen
Sicherstellung, dass Security relevante Aufgaben und Vorgänge transparent gemäß der Normvorgaben bearbeitet werden
Schneller Überblick über die Sicherheitslage im Unternehmen durch aussagekräftige Security–Reports
Reports weisen die Einhaltung der Vorgaben gemäß ISO 27001, DSGVO nach (Compliance) bzw. zeigen Defizite, Bearbeitungsstatus u. Ursachen auf
Das DSP ISMS unterstützt die regelmäßigen internen u. externen Audits durch digitale Geschäftsaufzeichnungen aller Security–relevanten Vorgänge im Unternehmen

Unterstützung der Rolle des Information Security Beauftragten der Abteilung bei der Erledigung seiner bereichsspezifischen Security–Aufgaben
Gleichzeitige Einbindung des ISB in die Security–Organisation und Prozesse
Standardisierung, Digitalisierung, Automatisierung von Anträgen, Genehmigungen, Einrichtung, Überwachung, Überprüfung u. Entzug von Zugriffsrechten auf zu schützende Informationen u. informationsverarbeitende Services (IAM)
Standardisierung, Digitalisierung von normativ geforderten, häufig wiederkehrenden Pflegearbeiten
Erfassung, Inventarisierung, prozessorientiertes Management, Reporting der Information Assets des Bereichs
Unterstützung der Security–Prozesse Incident Management, Change Management und Service Request Management
Security Reporting
Umfassende Unterstützung von Audits durch standardisierte Reports, individuell gestaltete Systemabfragen, digitale Aufzeichnungen zu Security relevanten Vorgängen und Auditnachweisen von normativ geforderten Prüfvorgängen
Signifikante Reduktion des Aufwands der Security–Organisation bei gleichzeitiger Qualitätserhöhung und Herstellung der Auditierfähigkeit

Bereitstellung einer professionellen Applikation zur Unterstützung des Information Security Managements gemäß ISO 27001/B3S/TISAX und abgeleiteter Standards
Etablierung eines Rollen– & Rechte–Konzeptes für die Security–Organisation, das die Zusammenarbeit und Trennung von Verantwortung („SOD“) unterstützt
Unterstützung von Dokumentenmanagement und Dokumentenlenkung mit Veröffentlichung von selektierten Dokumenten im Security–Portal
Unterstützung des Risikomanagements mit einer Risiko–Datenbank, zugewiesenen Risiko–Verantwortlichen und einem prozessorientierten
Management von Risiken (inklusive der Genehmigung von Restrisiken)
Erfassung jedes Security–relevanten Vorgangs mit einem digitalen Geschäftsvorgang (Ticket)
Erstellung von elektronischen Security–Aufgaben (Tasks) mit Delegation an Mitarbeiter (m/w/d) mit Netzwerkzugriff (AD–Konto) in der Organisation zur transparenten, nachverfolgbaren, auditierbaren Bearbeitung von Security–Vorgängen
Erfassung, Inventarisierung, prozessorientiertes Management, Reporting der Information Assets
Unterstützung der Security–Prozesse Incident Management, Change Management und Service Request Management
Standardisierung, Digitalisierung und Automatisierung der häufig wiederkehrenden und normativ geforderten Pflegearbeiten und Vorgänge
Bereitstellung einer Applikation zur Unterstützung der Prozesse für das Zugriffsmanagement auf zu schützende Informationen und informationsverarbeitende Systeme (IAM) mit Antrag, Genehmigung, Einrichtung, Überwachung der Nutzung, Überprüfung von Zugriffsrechten, Entziehung von Zugriffsrechten sowie Auditierung von vergebenen Zugriffsrechten
Security Reporting
Umfassende Unterstützung von Audits durch standardisierte Reports, individuell gestaltete Systemabfragen, digitale Aufzeichnungen zu Security–relevanten Vorgängen und Auditnachweisen von normativ geforderten Prüfvorgängen
Signifikante Reduktion des Aufwands der Security–Organisation bei gleichzeitiger Qualitätserhöhung und Herstellung der Auditierfähigkeit

Zu den genannten Vorteilen für die IT–Security–Organisation bietet das DSP ISMS der IT–Abteilung folgende Vorteile:

Bereitstellung eines integrierten Systems für das Service Mgmt. gemäß ITIL®/ISO20000–1 u. Information Security Managements gemäß ISO 27001 in der IT–Abteilung
Vermeidung von Doppelerfassung u. Mehrarbeit von allen Security–relev. Vorgängen in der IT–Abtlg.
Erweitertes Asset–Managements um eine Security–Klassifizierung von Services und IT–Ressourcen
Erweiterung der Standard Service Mgmt. Prozesse
(Incident–, Change–, Service Request–, Asset–Management) um die normativ geforderten Security–Prozess–Anforderungen
Standardisierung, Digitalisierung von Anträgen, Genehmigungen, Einrichtung, Überwachg., Überprfg., sowie Entzug von Zugriffsrechten auf zu schützende Informationen u. informationsverarbeitende Services
Automatisierung von Prozessen u. Prozessschritten durch vielseitige Integrationsmöglichkeit mit weiteren technischen IT–Systemen
Signifikante Reduktion des Service– & Supportaufwands in der IT–Abteilg. bei gleichzeitiger Verbesserung des Kundenservice durch Bereitstellg. eines
zentralen Service– & Security–Portals mit einem Katalog für die Beantragung, Genehmigung, Einrichtung, Überwachung, Überprüfung, sowie Entzug von Zugriffsrechten auf zu schützende Informationen u. informationsverarbeitende Services (IAM)
Sicherstellung, dass alle organisatorischen, prozessualen u. normativ geforderten Verfahren gemäß der ISO 27001 nachweislich u. nachweisbar in der IT–Abteilung eingehalten u. umgesetzt werden, bei gleichzeitiger Hebung von Synergieeffekten mit dem Service Mgmt. System der IT–Abteilung durch ein integriertes DSP ISMS Mgmt. System
Das DSP ISMS Management System ist die Basis für eine auditierfähige Dokumentation des Tagesgeschäftes u. eine Zertifizierung gemäß ISO 27001 im IT–Bereich

Möchten Sie noch mehr über das DSP ISMS erfahren? Dann kontaktieren Sie uns und lassen Sie sich beraten.