Informationssicherheitsmanagement

Informations-
sicherheits
Management

Ein Informationssicherheitsmanagement System (ISMS) beschreibt den formalen und dokumentierten Prozess, der eine Reihe von Richtlinien und Verfahren zur systematischen Verwaltung der sensiblen Daten einer Organisation umfasst. Bedrohungen und Schwachstellen in Prozessen, Systemen, Servern und Anwendungen (=Assets) werden analysiert und bewertet, Maßnahmen und Kontrollen gesetzt und deren Wirksamkeit überwacht. Ein wirksames ISMS wird sowohl von der IT als auch vom Unternehmen implementiert und betrieben und darf nicht nur als technisches Problem oder Thema betrachtet werden.

Ziele

Das übergeordnete Ziel eines ISMS ist es, Risiken zu minimieren und die Geschäftskontinuität zu gewährleisten, indem die Auswirkungen einer Sicherheitsverletzung proaktiv antizipiert, bewertet und begrenzt werden. Ein stabiler und angewandter Prozess, der auf Geschäftszielen basiert und die gesamte Organisation integriert, kann als Gesamtziel betrachtet werden.

Schutzziele erfüllen

Einführen von Informationssicherheitskontrollen, um Vertraulichkeit, Integrität und Verfügbarkeit der geschützten Informationen zu gewährleisten.

Reifegrad verbessern

Verbessern der Wirksamkeit der Kontrollen als Teil der regelmäßigen Berichterstattung.

Zertifizierungen erhalten

Für einige Organisationen ist das Erlangen einer Zertifizierung auf Grundlage von ISO/IEC 27001 ein Schlüsselziel, das für interne Zwecke, aber auch als Nachweis für Dritte verwendet werden kann.

Aligning risk appetite and strategy

Management considers the entity’s risk Appetite in evaluating strategic alternatives, setting related objectives, and developing mechanisms to manage related risks.

Enhancing risk response decisions

Enterprise risk management provides the rigor to identify and select among alternative risk responses – risk avoidance, reduction, sharing, and acceptance.

Reducing operational surprises and losses

Entities gain enhanced capability to identify potential events and establish responses, reducing surprises and associated costs or losses.

Herausforderungen

Heraus-
forderungen

Schließen der Cybersicherheits-Talentlücke: Viele CISOs merken an, dass sie nicht genug Personal haben, um all die Cyber-Bedrohungen zu bekämpfen, denen ihr Unternehmen täglich ausgesetzt ist.
Erkennen der Angriffsflächen einer Organisation: Während die Reaktion auf eine Sicherheitsverletzung eine sehr schwierige Herausforderung darstellt, ist es noch schwieriger, sie in der sich entwickelnden Bedrohungslandschaft vorherzusehen.
Umgehen mit Insider-Bedrohungen: Das menschliche Element ist einer der am schwersten vorherzusagenden Faktoren. Es ist im Grunde unmöglich, die Insider-Bedrohung auszuschalten, weil Menschen auf eine Weise fehlbar sind, wie es Maschinen und Algorithmen nicht sind. Aber auch ein vorsätzlicher Verstoß gegen Richtlinien, wie das unerlaubte Zugreifen auf sensible Informationen, muss berücksichtigt werden.