03200 Aufbau und Einführung eines Informationssicherheitsprozesses im Unternehmen

Der Beitrag beschreibt einen Weg, die Informationssicherheit im Unternehmen systematisch zu analysieren und nachhaltig zu verbessern. Die Informationssicherheit wird dabei als kontinuierlicher Prozess verstanden, der als Teil eines bestehenden Managementsystems implementiert werden kann. Die beschriebenen Prozessschritte harmonieren sowohl mit der Qualitätsmanagementnorm DIN EN ISO 9001:2008 als auch mit der ISO/IEC 27001:2013 für Informationssicherheits- Managementsysteme. Sie haben insofern Mustercharakter, als dass sich spezifische Ausprägungen an ihnen orientieren können. Ihre Dokumentation führt im Verlauf der Umsetzung schrittweise zu einem Informationssicherheitshandbuch. Voraussetzung für die erfolgreiche Einführung des Prozesses ist, dass die Initiative dafür vom Management des Unternehmens ausgeht, die Informationssicherheit von diesem getragen und vorgelebt wird.

Das Management eines Unternehmens muss sich im Klaren darüber sein, was ihm seine Informationen und Daten bedeuten. Ist es das Know-how, was zu schützen ist? Ist es die Verfügbarkeit von Informationen, welche die Grundlage für intakte Geschäfts-/Produktionsprozesse oder schnelle Entscheidungen bildet? Ist es das Persönlichkeitsrecht jener, deren Daten automatisiert verarbeitet werden? Oder ist es die Integrität der Daten, die über die Unversehrtheit von Leib und Leben entscheiden kann? Aus diesen Überlegungen heraus sind unternehmensspezifische Sicherheitsziele zu formulieren. Diese Ziele werden im Unternehmen bekannt gegeben und allen Mitarbeitern vermittelt. Die beigefügte Arbeitshilfe ist ein Beispiel für ein entsprechend ausformuliertes Dokument.

Ausgehend von der Möglichkeit, dass Vertraulichkeit, Integrität oder Verfügbarkeit eines Geschäftsprozesses bzw. der zugehörigen Daten verloren gehen, werden maximale Schäden abgeschätzt, die aus einer solchen Situation entstehen können. Weil der daraus abzuleitende Schutzbedarf nur schwer quantifizierbar ist, haben sich qualitative Aussagen in Form von Schutzkategorien für die weitere Betrachtung durchgesetzt. Dafür können abhängig vom Untersuchungsobjekt verschiedene Kriterien herangezogen werden. Das Beispiel in dieser Checkliste zeigt eine denkbare Klassifizierung mittels einer dreistufigen Kriterientabelle.