[Virtual Presenter] Guten Tag und herzlich Willkommen! In unserem Vortrag werden wir uns heute mit der Sicherheit in Information Security Management Systemen (ISMS) auseinandersetzen. Wir erläutern, wie sich organisatorische, technische und rechtliche Themen miteinander vereinen lassen, um ein ISMS erfolgreich zu implementieren und konfliktträchtige Themen wie die DSGVO und das BDSG in der Organisation zu vereinen. Wir werden in unserer Präsentation eine Reihe interessanter und wichtiger Themen behandeln und freuen uns auf Ihre Aufmerksamkeit.. 

Scene 1

Dr. Christian Böttger, Michael Weissing November 23

[Audio] IT-Sicherheit ist ein wichtiger Bestandteil der Informationssicherheit. Dabei geht es darum, Informationstechnologie vor unerlaubten Zugriffen und Manipulationsversuchen zu schützen. Ein weiteres Ziel der Informationssicherheit ist der Schutz von Informationen, um die Verfügbarkeit, Vertraulichkeit und Integrität zu gewährleisten. Der Schutz personenbezogener Daten bezieht sich auf den Schutz vertraulicher Informationen über Einzelpersonen. Unternehmenssicherheit umfasst neben IT-Sicherheit, Informationssicherheit und Datenschutz auch Arbeitnehmer- und Personenschutz. Cyber-Sicherheit beinhaltet den Schutz der Gesellschaft vor Angriffen, die durch den Einsatz von Informations- und Kommunikationstechnologie sowie durch Abhängigkeiten von Informationen möglich sind.. 

Scene 2

IT-Sicherheit ist Schutz vor Angriffen auf Informationstechnik oder vor Angriffen, die mit IT durchgeführt werden   Informationssicherheit ist der Schutz von Informationen – egal wo oder wie vorliegend – vor Angriffen aller Art   Datenschutz ist Schutz von personenbezogenen Daten   Unternehmenssicherheit umfasst IT-Sicherheit, Informationssicherheit, Datenschutz sowie Arbeitnehmerschutz und Personenschutz   Cyber-Sicherheit ist der Schutz der Gesellschaft vor Angriffen, die sich durch Einsatz von IT und aus Abhängigkeiten von Informationen für Menschen, Firmen, etc. ergeben

[Audio] Bei der Vertraulichkeit geht es darum, dass Informationen nur von autorisierten Benutzern gelesen oder verändert werden dürfen. Was die Integrität anbelangt, müssen alle Änderungen an Informationen transparent und nachvollziehbar sein. Die Verfügbarkeit betrifft schließlich den Zugriff auf Daten durch autorisierte Personen oder Benutzer innerhalb eines vorher vereinbarten Zeitrahmens. Sie muss gewährleistet sein, um ein effektives ISMS aufzubauen. Es geht bei der Vertraulichkeit darum, dass Informationen nur von autorisierten Benutzern gelesen oder verändert werden dürfen. Was die Integrität betrifft, müssen alle Änderungen an Informationen transparent und nachvollziehbar sein. Bezüglich der Verfügbarkeit gilt, dass der Zugriff auf Daten durch autorisierte Personen oder Benutzer innerhalb eines vorher vereinbarten Zeitrahmens gewährleistet sein muss, um ein effektives ISMS aufzubauen.. 

Scene 3

Vertraulichkeit (confidentiality): Informationen dürfen lediglich von autorisierten Benutzern gelesen bzw. modifiziert werden   Integrität (integrity): Informationen dürfen nicht unbemerkt verändert werden, alle Änderungen müssen nachvollziehbar sein   Verfügbarkeit (availability): Der Zugriff auf Daten durch autorisierte Personen oder Benutzer muss innerhalb eines vereinbarten Zeitrahmens gewährleistet sein

[Audio] In der Informationssicherheit gibt es verschiedene Komponenten, wie Authentizität, Verbindlichkeit oder Nichtabstreitbarkeit, Zurechenbarkeit und Revisionsfähigkeit. Authentizität bezieht sich auf die Echtheit, Überprüfbarkeit und Vertrauenswürdigkeit eines Objekts. Verbindlichkeit oder Nichtabstreitbarkeit bedeutet, dass die durchgeführten Handlungen nicht verleugnet werden können. Zurechenbarkeit bezeichnet die eindeutige Zuordnung der Handlungen an einen Kommunikationspartner. Abschließend ist noch die Revisionsfähigkeit zu nennen, bei der Änderungen an Daten nachvollziehbar dokumentiert werden.. 

Scene 4

Authentizität (authenticity): Authentizität (authenticity) bezeichnet die Eigenschaften der Echtheit, Überprüfbarkeit und Vertrauenswürdigkeit eines Objekts   Verbindlichkeit/Nichtabstreitbarkeit (non repudiation): Sie erfordert, dass kein unzulässiges Abstreiten durchgeführter Handlungen möglich ist   Zurechenbarkeit (accountability): Eine durchgeführte Handlung kann einem Kommunikationspartner eindeutig zugeordnet werden
  Revisionsfähigkeit (revision capability): Änderungen an Daten sind nachvollziehbar Umfasst in der Regel Authentizität, Verbindlichkeit und Zurechenbarkeit

[Audio] In dieser Folie sehen wir die Zutaten, die notwendig sind, um ein Informationssicherheitsmanagementsystem (ISMS) aufzubauen. Wir müssen Normen und Standards, Recht und Compliance, technische und organisatorische Sicherheit, Organisationsziele, Prozesse, Leit- und Richtlinien, Risikoanalyse sowie Prüfungen und Audits berücksichtigen. Alle diese Elemente müssen miteinander in Verbindung gebracht werden, um ein effektives ISMS zu entwickeln, das alle erforderlichen Komponenten enthält.. 

Scene 5

[Audio] Diese Tabelle stellt den konzeptionellen Rahmen dar, der für ein effektives Informationssicherheitsmanagementsystem notwendig ist. Strategisch ist eine Sicherheitsleitlinie zu erarbeiten und einzuführen. Auf organisatorischer Ebene sind Regeln für das Benutzerverhalten und Sicherheitskonzepte formulieren. Auch technische Dokumente, wie Handlungsanweisungen, sollten standardisiert sein. Um die Umsetzung effektiv zu steuern, ist es sinnvoll, eine Stabsstelle CISO einzurichten sowie Grundsätze und Arbeitsabläufe festzulegen.. 

Scene 6

Technische Dokumentation   Handlungsanweisungen

[Audio] Vor uns liegt eine Liste von Rechtsvorschriften, die die Informationssicherheit in Deutschland regeln. Die Datenschutz-Grundverordnung (DSGVO), das Bundesdatenschutzgesetz (BDSG), das IT-Sicherheitsgesetz (2015) sowie die Erweiterung durch das IT-Sicherheitsgesetz 2.0 sorgen dafür, dass Angriffe im Cyberraum abgewehrt werden können. Der Umsetzungsplan Bund – Leitlinie für Informationssicherheit in der Bundesverwaltung – und die BSI-Kritisverordnung (BSI-KritisV) bestimmen kritische Infrastrukturen, während das KonTraG (Kontroll- und Transparenzgesetz) Mindestanforderungen zum Risikomanagement definiert.. 

Scene 7

Treiber für Information Security in Organisationen

Datenschutz-Grundverordnung (DSGVO)   BDSG-neu seit 05/2018   Datenschutzgesetze der Länder  IT-Sicherheitsgesetz (2015): Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme  IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0): „…setzt neue Maßstäbe bei der Abwehr von Angriffen im Cyberraum.“ Die Bundesregierung hat am 16. Dezember 2020 den vorgelegten Entwurf des IT-Sicherheitsgesetzes 2.0 beschlossen.   BSI-Gesetz: Erweiterung durch das IT-Sicherheitsgesetz  UP Bund: Umsetzungsplan Bund - Leitlinie für Informationssicherheit in der Bundesverwaltung  BSI-Kritisverordnung (BSI-KritisV): Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz  KonTraG (1998): Gesetz zur Kontrolle und Transparenz im Unternehmensbereich. Mindestanforderungen: Risikomanagement.

KonTraG: Gesetz zur Kontrolle und Transparenz im Unternehmensbereich; HGB: Handelsgesetzbuch; AO: Abgabenordnung; DSGVO: Datenschutz-Grundverordnung; BDSG: Bundesdatenschutzgesetz; ITSiG: IT-Sicherheitsgesetz; KRITIS: Kritische Infrastrukturen; IT-SIKat: IT-Sicherheitskatalog der Bundesnetzagentur für Energieversorger; GoBD: Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff

[Audio] Für die Erfüllung von Anforderungen ergeben sich verschiedene Quellen, die in unterschiedliche Kategorien unterteilt werden können. Zu den gesetzlichen und regulatorischen Anforderungen zählen u.a. KonTraG, HGB, AO, DSGVO, BDSG, ITSiG, KRITIS, IT-SiKat und GoBD. Darüber hinaus ergeben sich Anforderungen aus Verträgen mit Kunden, Lieferanten, Projektpartnern oder Versicherungen. Weitere Anforderungen können sich durch den Markt, die Öffentlichkeit, Konzern Shareholder oder TISAX ergeben. Darüber hinaus müssen auch die Anforderungen der Mitarbeitenden, der Geschäftsprozesse und der Technik berücksichtigt werden. All dies trägt dazu bei, Risiken zu identifizieren und zu reduzieren, um Sicherheitsvorfälle zu vermeiden.. 

Scene 8

Treiber für Informationssicherheit an der TU Braunschweig

Erfüllung von Anforderungen Gesetzliche und regulatorische Anforderungen KonTraG, HGB, AO, DSGVO, BDSG, ITSiG, KRITIS, IT-SiKat, GoBD… Vertragliche Anforderungen Kunden, Lieferanten, Projektpartner, Versicherungen,… Weitere Anforderungen, z.B.: Markt, Öffentlichkeit Konzern, Shareholder TISAX Mitarbeitende Geschäftsprozesse Technik Begrenzung von Risiken  zur Vermeidung von Sicherheitsvorfällen

IT-Sicherheitslage der niedersächsischen Landesverwaltung. 

Scene 9

IT-Sicherheitslage der niedersächsischen Landesverwaltung

[Audio] Informationssicherheit ist kein Produkt, das man einfach von der Stange kaufen kann. Vielmehr muss sie bedarfsgerecht etabliert und in bestehende Abläufe oder Produkte integriert werden, damit vorhandene Produkte wirksam unterstützen. Darüber hinaus ist Informationssicherheit kein Projekt, sondern ein Prozess, der kontinuierlich überprüft, verbessert und an neue Rahmenbedingungen angepasst werden muss. Die Umsetzung erfordert ein Informationssicherheitsmanagement (ISM), das regelmäßig geprüft, gewartet und weiterentwickelt werden muss.. 

Scene 10

Informationssicherheit ist kein Produkt! Ganzheitliche Informationssicherheit kann man nicht von der Stange kaufen Informationssicherheit muss bedarfsgerecht etabliert und in bestehende Abläufe bzw. Produkte integriert werden („security by design“) Hierbei können vorhandene Produkte wirksam unterstützen Informationssicherheit ist kein Projekt! Der Aufbau von Informationssicherheit ist keine Einmal-Aktion Informationssicherheit muss regelmäßig gepflegt und weiterentwickelt werden Hierbei können Teilleistungen sinnvoll in Projekten abgewickelt werden Informationssicherheit ist ein Prozess… …der nach seiner Etablierung (Do) regelmäßig überprüft (Check) kontinuierlich verbessert (Act) veränderten Rahmenbedingungen angepasst (Plan) werden muss.  Ergebnis: Informationssicherheitsmanagement (ISM)

[Audio] Die Normenreihe ISO 27000 stellt ein international anerkanntes Regelwerk dar und spielt eine zentrale Rolle bei der Konzipierung und Implementierung eines Information Security Management Systems (ISMS). Weitere Normen und Standards, die in ein ISMS integriert werden können, sind BSI-Standards, -Richtlinien, IT-Grundschutzkataloge, ITIL/ISO 20000, ISO 22301, CobiT, Common Criteria, ISO/IEC 19790, PCI-DSS und NIST SP-800-x. Alle diese Normen und Standards tragen zu einer effektiven Konzeption und Umsetzung eines funktionstüchtigen Information Security Management Systems bei.. 

Scene 11

ISO 27000 – die Normenreihe für Informationssicherheit BSI-Standards, -Richtlinien, IT-Grundschutzkataloge ITIL / ISO 20000-x – (IT) Service Management ISO 22301 – Business Continuity Management CobiT – Governance of Enterprise IT (GEIT) Common Criteria ISO/IEC 19790 PCI-DSS NIST SP-800-x … und viele weitere

[Audio] Ein wichtiges Instrument zur Sicherheitskontrolle sind Rahmenwerke. Sie stellen eine Formulierung von Sicherheitsrichtlinien, Verfahren, Prozessen und Abläufen dar, die die Sicherheit eines Systems, einer Organisation oder eines Unternehmens gewährleisten. Die häufigsten Rahmenwerke sind ISO 27000, das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Grundschutz. ISO 27000 ist ein internationaler Industriestandard, während das BSI einen Katalog veröffentlicht hat, der die notwendigen Sicherheitsparameter enthält, um den internationalen Standard ISO 27001 zu erfüllen. Dieser Katalog ist mit dem Grundschutz gleichwertig.. 

Scene 12

Häufig verwendete Rahmenwerke:


 ISO 27000 ist eine internationaler Industriestandard
 Deutsche Länder, Kommunen und Verwaltungen nutzen den Standard des Bundesamtes für Sicherheit in der Informationstechnik (BSI)
 Das BSI hat einen Katalog herausgegeben, welche Sicherheitsparameter benötigt werden, um den internationalen Standard zu erfüllen – den Grundschutz (gleichwertig zu ISO27001)

Normen + Standards ISO 27000, BSI Grundschutz

Rahmenwerk des Information Security Management Systems

[Audio] Richtlinien sind ein essenzieller Bestandteil beim Entwurf eines ISMS. Sie geben vor, wie ein Unternehmen Aufgaben im Bereich der Sicherheit abdecken soll. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) teilt diese Richtlinien in sieben Bausteingruppen, die wiederum in verschiedene Bereiche unterteilt sind. Diese Bausteingruppen sind Standorte, SYS-IT, Netze, Anwendungen, Infrastruktur, Betrieb und Detektion. Diese Bausteingruppen beinhalten auch verschiedene Impulsgeber, Standards und Konzepte, die für ein erfolgreiches ISMS unerlässlich sind.. 

Scene 13

Leitlinie Standards Konzepte Betrieb Detektion SYS-IT Netze Applikationen Infrastruktur

Richtlinien sind im BSI Grundchutz in folgende Bausteingruppen gegliedert:

[Audio] BSI Grundschutz definiert drei Sicherheitsniveaus: Basis, Standard und erhöhter Schutzbedarf. Ab Niveau 2 ist eine Zertifizierung möglich, die Voraussetzung für das höchste Niveau 3 ist eine Schutzbedarfsanalyse. Ziel ist es also, prinzipiell zertifizierbar zu sein.. 

Scene 14

BSI Grundschutz hat 3 Sicherheitsniveaus:
 Basis Standard Erhöhter Schutzbedarf
 Ab Niveau 2 ist ein zertifizierbarer Zustand erreicht die Grundlage für Niveau 3 ist eine Schutzbedarfsanalyse
 Etappenziel: „prinzipiell zertifizierbar werden“ (HVP-DN)

[Audio] Die Abschätzung des Bedeutungsrahmens der Informationswerte einer Organisation ist ein wesentlicher Schritt bei der Implementierung eines ISMS. Um zu bestimmen, inwieweit die Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der Daten geschützt werden müssen, sollten definierte Schadensszenarien betrachtet werden. Diese können aus dem IT-Grundschutz stammen und beinhalten etwa Verstöße gegen Gesetze, Vorschriften oder Verträge, Schäden an der persönlichen Unversehrtheit, Beeinträchtigungen der Aufgabenerfüllung, finanzielle Auswirkungen oder negative Wirkungen nach innen oder außen. Die Abschätzung des Bedeutungsrahmens der Informationswerte einer Organisation ist ein wesentlicher Schritt bei der Implementierung eines ISMS. Um zu bestimmen, inwieweit die Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der Daten geschützt werden müssen, sollten definierte Schadensszenarien untersucht werden. Diese können aus dem IT-Grundschutz stammen und beinhalten etwa Verstöße gegen Gesetze, Vorschriften oder Verträge, Schäden an der persönlichen Unversehrtheit, Beeinträchtigungen der Aufgabenerfüllung, finanzielle Auswirkungen oder negative Wirkungen nach innen oder außen.. 

Scene 15

Jede Organisation sollte die Bedeutung (Wert und Schutzbedarf) Ihrer Informationswerte abschätzen durch die Konsequenzen des Verlustes von Vertraulichkeit Integrität Verfügbarkeit Authentizität Hierfür sollten definierte Schadensszenarien genutzt werden, z.B. aus dem IT-Grundschutz: Verstoß gegen Gesetze/Vorschriften/Verträge Beeinträchtigung des informationellen Selbstbestimmungsrechts Beeinträchtigung der persönlichen Unversehrtheit Beeinträchtigung der Aufgabenerfüllung Negative Innen- oder Außenwirkung Finanzielle Auswirkungen

[Audio] Vielen Dank, dass Sie meine Präsentation besucht haben, die Ihnen einen Einblick in das Information Security Management System und die rechtlichen Aspekte, wie die DSGVO und BDSG, geben sollte. Falls Sie weiterführende Fragen oder Anmerkungen haben, lassen Sie es mich bitte wissen. Ich danke Ihnen nochmals für Ihre Aufmerksamkeit.. 

Scene 16

I S M S Prozess

IT-Sicherheit ist ein wichtiger Bestandteil der Informationssicherheit. Dabei geht es darum, Informationstechnologie vor unerlaubten Zugriffen und Manipulationsversuchen zu schützen. Ein weiteres Ziel der Informationssicherheit ist der Schutz von Informationen, um die Verfügbarkeit, Vertraulichkeit und Integrität zu gewährleisten. Der Schutz personenbezogener Daten bezieht sich auf den Schutz vertraulicher Informationen über Einzelpersonen. Unternehmenssicherheit umfasst neben IT-Sicherheit, Informationssicherheit und Datenschutz auch Arbeitnehmer- und Personenschutz. Cyber-Sicherheit beinhaltet den Schutz der Gesellschaft vor Angriffen, die durch den Einsatz von Informations- und Kommunikationstechnologie sowie durch Abhängigkeiten von Informationen möglich sind.

avatar

Bei der Vertraulichkeit geht es darum, dass Informationen nur von autorisierten Benutzern gelesen oder verändert werden dürfen. Was die Integrität anbelangt, müssen alle Änderungen an Informationen transparent und nachvollziehbar sein. Die Verfügbarkeit betrifft schließlich den Zugriff auf Daten durch autorisierte Personen oder Benutzer innerhalb eines vorher vereinbarten Zeitrahmens. Sie muss gewährleistet sein, um ein effektives ISMS aufzubauen. 

Es geht bei der Vertraulichkeit darum, dass Informationen nur von autorisierten Benutzern gelesen oder verändert werden dürfen. Was die Integrität betrifft, müssen alle Änderungen an Informationen transparent und nachvollziehbar sein. Bezüglich der Verfügbarkeit gilt, dass der Zugriff auf Daten durch autorisierte Personen oder Benutzer innerhalb eines vorher vereinbarten Zeitrahmens gewährleistet sein muss, um ein effektives ISMS aufzubauen.

In der Informationssicherheit gibt es verschiedene Komponenten, wie Authentizität, Verbindlichkeit oder Nichtabstreitbarkeit, Zurechenbarkeit und Revisionsfähigkeit. Authentizität bezieht sich auf die Echtheit, Überprüfbarkeit und Vertrauenswürdigkeit eines Objekts. Verbindlichkeit oder Nichtabstreitbarkeit bedeutet, dass die durchgeführten Handlungen nicht verleugnet werden können. Zurechenbarkeit bezeichnet die eindeutige Zuordnung der Handlungen an einen Kommunikationspartner. Abschließend ist noch die Revisionsfähigkeit zu nennen, bei der Änderungen an Daten nachvollziehbar dokumentiert werden.

In dieser Folie sehen wir die Zutaten, die notwendig sind, um ein Informationssicherheitsmanagementsystem (ISMS) aufzubauen. Wir müssen Normen und Standards, Recht und Compliance, technische und organisatorische Sicherheit, Organisationsziele, Prozesse, Leit- und Richtlinien, Risikoanalyse sowie Prüfungen und Audits berücksichtigen. Alle diese Elemente müssen miteinander in Verbindung gebracht werden, um ein effektives ISMS zu entwickeln, das alle erforderlichen Komponenten enthält.

Diese Tabelle stellt den konzeptionellen Rahmen dar, der für ein effektives Informationssicherheitsmanagementsystem notwendig ist. Strategisch ist eine Sicherheitsleitlinie zu erarbeiten und einzuführen. Auf organisatorischer Ebene sind Regeln für das Benutzerverhalten und Sicherheitskonzepte formulieren. Auch technische Dokumente, wie Handlungsanweisungen, sollten standardisiert sein. Um die Umsetzung effektiv zu steuern, ist es sinnvoll, eine Stabsstelle CISO einzurichten sowie Grundsätze und Arbeitsabläufe festzulegen.

Vor uns liegt eine Liste von Rechtsvorschriften, die die Informationssicherheit in Deutschland regeln. Die Datenschutz-Grundverordnung (DSGVO), das Bundesdatenschutzgesetz (BDSG), das IT-Sicherheitsgesetz (2015) sowie die Erweiterung durch das IT-Sicherheitsgesetz 2.0 sorgen dafür, dass Angriffe im Cyberraum abgewehrt werden können. Der Umsetzungsplan Bund – Leitlinie für Informationssicherheit in der Bundesverwaltung – und die BSI-Kritisverordnung (BSI-KritisV) bestimmen kritische Infrastrukturen, während das KonTraG (Kontroll- und Transparenzgesetz) Mindestanforderungen zum Risikomanagement definiert.

Für die Erfüllung von Anforderungen ergeben sich verschiedene Quellen, die in unterschiedliche Kategorien unterteilt werden können. Zu den gesetzlichen und regulatorischen Anforderungen zählen u.a. KonTraG, HGB, AO, DSGVO, BDSG, ITSiG, KRITIS, IT-SiKat und GoBD. Darüber hinaus ergeben sich Anforderungen aus Verträgen mit Kunden, Lieferanten, Projektpartnern oder Versicherungen. Weitere Anforderungen können sich durch den Markt, die Öffentlichkeit, Konzern Shareholder oder TISAX ergeben. Darüber hinaus müssen auch die Anforderungen der Mitarbeitenden, der Geschäftsprozesse und der Technik berücksichtigt werden. All dies trägt dazu bei, Risiken zu identifizieren und zu reduzieren, um Sicherheitsvorfälle zu vermeiden.

Informationssicherheit ist kein Produkt, das man einfach von der Stange kaufen kann. Vielmehr muss sie bedarfsgerecht etabliert und in bestehende Abläufe oder Produkte integriert werden, damit vorhandene Produkte wirksam unterstützen. Darüber hinaus ist Informationssicherheit kein Projekt, sondern ein Prozess, der kontinuierlich überprüft, verbessert und an neue Rahmenbedingungen angepasst werden muss. Die Umsetzung erfordert ein Informationssicherheitsmanagement (ISM), das regelmäßig geprüft, gewartet und weiterentwickelt werden muss.

Die Normenreihe ISO 27000 stellt ein international anerkanntes Regelwerk dar und spielt eine zentrale Rolle bei der Konzipierung und Implementierung eines Information Security Management Systems (ISMS). Weitere Normen und Standards, die in ein ISMS integriert werden können, sind BSI-Standards, -Richtlinien, IT-Grundschutzkataloge, ITIL/ISO 20000, ISO 22301, CobiT, Common Criteria, ISO/IEC 19790, PCI-DSS und NIST SP-800-x. Alle diese Normen und Standards tragen zu einer effektiven Konzeption und Umsetzung eines funktionstüchtigen Information Security Management Systems bei.

Ein wichtiges Instrument zur Sicherheitskontrolle sind Rahmenwerke. Sie stellen eine Formulierung von Sicherheitsrichtlinien, Verfahren, Prozessen und Abläufen dar, die die Sicherheit eines Systems, einer Organisation oder eines Unternehmens gewährleisten. Die häufigsten Rahmenwerke sind ISO 27000, das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Grundschutz. ISO 27000 ist ein internationaler Industriestandard, während das BSI einen Katalog veröffentlicht hat, der die notwendigen Sicherheitsparameter enthält, um den internationalen Standard ISO 27001 zu erfüllen. Dieser Katalog ist mit dem Grundschutz gleichwertig.

Richtlinien sind ein essenzieller Bestandteil beim Entwurf eines ISMS. Sie geben vor, wie ein Unternehmen Aufgaben im Bereich der Sicherheit abdecken soll. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) teilt diese Richtlinien in sieben Bausteingruppen, die wiederum in verschiedene Bereiche unterteilt sind. Diese Bausteingruppen sind Standorte, SYS-IT, Netze, Anwendungen, Infrastruktur, Betrieb und Detektion. Diese Bausteingruppen beinhalten auch verschiedene Impulsgeber, Standards und Konzepte, die für ein erfolgreiches ISMS unerlässlich sind.

BSI Grundschutz definiert drei Sicherheitsniveaus: Basis, Standard und erhöhter Schutzbedarf. Ab Niveau 2 ist eine Zertifizierung möglich, die Voraussetzung für das höchste Niveau 3 ist eine Schutzbedarfsanalyse. Ziel ist es also, prinzipiell zertifizierbar zu sein.

Die Abschätzung des Bedeutungsrahmens der Informationswerte einer Organisation ist ein wesentlicher Schritt bei der Implementierung eines ISMS. Um zu bestimmen, inwieweit die Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der Daten geschützt werden müssen, sollten definierte Schadensszenarien betrachtet werden. Diese können aus dem IT-Grundschutz stammen und beinhalten etwa Verstöße gegen Gesetze, Vorschriften oder Verträge, Schäden an der persönlichen Unversehrtheit, Beeinträchtigungen der Aufgabenerfüllung, finanzielle Auswirkungen oder negative Wirkungen nach innen oder außen. 

Die Abschätzung des Bedeutungsrahmens der Informationswerte einer Organisation ist ein wesentlicher Schritt bei der Implementierung eines ISMS. Um zu bestimmen, inwieweit die Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der Daten geschützt werden müssen, sollten definierte Schadensszenarien untersucht werden. Diese können aus dem IT-Grundschutz stammen und beinhalten etwa Verstöße gegen Gesetze, Vorschriften oder Verträge, Schäden an der persönlichen Unversehrtheit, Beeinträchtigungen der Aufgabenerfüllung, finanzielle Auswirkungen oder negative Wirkungen nach innen oder außen.

Vielen Dank, dass Sie meine Präsentation besucht haben, die Ihnen einen Einblick in das Information Security Management System und die rechtlichen Aspekte, wie die DSGVO und BDSG, geben sollte. Falls Sie weiterführende Fragen oder Anmerkungen haben, lassen Sie es mich bitte wissen. Ich danke Ihnen nochmals für Ihre Aufmerksamkeit.