Informationssicherheits-Managementsysteme (ISMS)

• Informationssicherheits-Managementsysteme (ISMS) Grundsätzliches
• ISMS Tools
• Abgrenzung IT-Grundschutz – ISO 27001 – KRITIS-Audit
• Verinice
• Quasi-Standard (IT-GS, mit BSI-S 200-1, 200-2, 200-3, IT-GS-Kataloge ISO/IEC 27001 und 27701)
• Wer/Warum benötigt, Funktionsweise Rahmenbedingungen, Aufbau und entscheidende Faktoren

Informationssicherheits-Managementsysteme (ISMS) Grundsätzliches

Definition und Bedeutung

• Ein Informationssicherheits-Managementsystem (ISMS) ist ein systematischer Ansatz zur Verwaltung und Sicherung sensibler Informationen in einer Organisation.
• Es basiert auf definierten Sicherheitsrichtlinien, Verfahren und Kontrollmechanismen, um Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sicherzustellen.
• Die Einführung eines ISMS erfolgt häufig gemäß internationalen Standards wie ISO/IEC 27001, die eine Zertifizierung ermöglichen.
• Ein effektives ISMS hilft Organisationen, Cyberrisiken zu minimieren, gesetzliche Anforderungen zu erfüllen und Sicherheitsvorfälle strukturiert zu behandeln.

Grundprinzipien eines ISMS

• Vertraulichkeit: Sicherstellen, dass nur autorisierte Personen Zugriff auf bestimmte Informationen haben.
• Integrität: Schutz der Daten vor unbefugten Änderungen oder Manipulationen.
• Verfügbarkeit: Sicherstellen, dass Informationen und Systeme jederzeit für berechtigte Nutzer zugänglich sind.
• Risikobasiertes Management: Identifikation und Bewertung von Bedrohungen und Schwachstellen zur Minimierung von Risiken.

Kernbestandteile eines ISMS

• Risikomanagement: Identifikation, Bewertung und Behandlung von Sicherheitsrisiken.
• Sicherheitsrichtlinien: Festlegung und Durchsetzung organisatorischer Maßnahmen zum Schutz von Informationen.
• Zugriffskontrollen: Implementierung von Berechtigungsmechanismen zur Minimierung unautorisierter Zugriffe.
• Schulung und Sensibilisierung: Regelmäßige Schulungen für Mitarbeiter, um Sicherheitsbewusstsein zu fördern.
• Kontinuierliche Verbesserung: Regelmäßige Audits und Überprüfungen zur Anpassung an neue Bedrohungslagen.
• Incident Management: Definition und Umsetzung von Prozessen zur Erkennung, Reaktion und Wiederherstellung nach Sicherheitsvorfällen.

ISMS-Standards und Frameworks

• ISO/IEC 27001: Internationaler Standard für die Implementierung und Zertifizierung eines ISMS.
• NIST Cybersecurity Framework: Leitlinien für das Risikomanagement in der Cybersicherheit.
• BSI IT-Grundschutz: Deutsches Sicherheitskonzept für Behörden und Unternehmen zur Umsetzung eines ISMS.
• COBIT (Control Objectives for Information and Related Technologies): Framework für die IT-Governance mit Fokus auf Sicherheit und Compliance.

Vorteile eines ISMS

• Reduzierung von Cyberrisiken durch systematische Sicherheitsmaßnahmen.
• Verbesserung der Compliance mit regulatorischen Anforderungen und Datenschutzgesetzen.
• Erhöhung des Vertrauens von Kunden und Geschäftspartnern durch zertifizierte Sicherheitsstandards.
• Schnellere Reaktionsfähigkeit auf Sicherheitsvorfälle durch definierte Prozesse und Verantwortlichkeiten.
• Bessere Transparenz und Nachverfolgbarkeit von Sicherheitsmaßnahmen innerhalb der Organisation.

Implementierung eines ISMS

• Festlegen von Sicherheitsrichtlinien und Zielen basierend auf den Anforderungen der Organisation.
• Durchführung einer Risikoanalyse, um Bedrohungen und Schwachstellen zu identifizieren.
• Einführung technischer und organisatorischer Sicherheitsmaßnahmen.
• Regelmäßige Überprüfung und Verbesserung des Systems durch Audits und Bewertungen.
• Sensibilisierung und Schulung der Mitarbeiter zur Einhaltung der Sicherheitsrichtlinien.

Unterstützung durch Tools

• Es gibt verschiedene Softwarelösungen, die Organisationen bei Aufbau und Betrieb eines ISMS unterstützen können, z. B.:

 - Verinice
 - HiScout ISMS
 - SAVe 
 - ibi systems iris
 - GS-Tool (BSI, eingestellt aber noch verbreitet)
 - andere kommerzielle GRC-Plattformen (Governance, Risk & Compliance)

ISMS Tools

verinice

• Open-Source-Tool von SerNet für ISMS nach ISO/IEC 27001 und BSI IT-Grundschutz.
• Community Edition (kostenlos) und Enterprise-Version (kommerziell).
• Unterstützt Modellierung von Organisationen, Prozessen, IT-Systemen und Bausteinen.
• Geeignet für Behörden und Unternehmen, auch für ISO-27001-Zertifizierungsvorbereitung.

HiScout ISMS

• Kommerzielle Lösung, in vielen Behörden und Konzernen im Einsatz.
• Starke Integration in BSI IT-Grundschutz und ISO 27001.
• Erweiterbar um Module für Datenschutz und Business Continuity Management.
• Fokus auf automatisiertes Berichtswesen und Audit-Support.

ibi systems iris

• Deutsches GRC-Tool (Governance, Risk, Compliance).
• Unterstützt Risikomanagement, Informationssicherheit und Datenschutz.
• Intuitive Weboberfläche, geeignet für mittlere und große Unternehmen.
• Starker Fokus auf Dashboards und Kennzahlen.

GS-Tool (BSI)

• Älteres Werkzeug des BSI für den IT-Grundschutz (bis 2022 offiziell gepflegt).
• Kostenlos, wurde lange von Behörden und kleinen Unternehmen genutzt.
• Eingeschränkte Weiterentwicklung, aber teilweise noch in Altprojekten im Einsatz.
• Mittlerweile ersetzt durch modernere Tools (z. B. verinice oder HiScout).

Weitere Plattformen

• Markt bietet zahlreiche kommerzielle GRC-Lösungen (z. B. Risk2Value, RSA Archer).
• Zielgruppe: vor allem Konzerne mit integriertem Managementansatz.
• Fokus: Risiko- und Compliance-Management, nicht nur ISMS.

Abgrenzung IT-Grundschutz – ISO 27001 – KRITIS-Audit

IT-Grundschutz

• Deutscher Standard des BSI
• Stellt Bausteine, Maßnahmen und Vorgehensweisen bereit (Kataloge)
• Ziel: systematische Informationssicherheit in Organisationen
• Fokus auf Vollständigkeit und Methodik (Schutzbedarf → Bausteine → Maßnahmen)
• Ergebnis: IT-Sicherheitskonzept mit dokumentierten Anforderungen, Umsetzung, Restrisiken

ISO 27001

• Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS)
• Basiert auf der High Level Structure (HLS) der ISO-Normen
• Enthält Annex A mit 93 Controls (Themenbereiche: Organisation, Technik, Personal, Lieferkette)
• Zertifizierung weltweit anerkannt
• BSI bietet Variante „ISO 27001 auf der Basis von IT-Grundschutz“ an
  • Kombiniert internationale Anerkennung (ISO 27001) mit nationalen Bausteinen (Grundschutz)

KRITIS-Audit

• Spezieller Prüfrahmen nach dem BSI-Gesetz (§8a BSIG)
• Verpflichtend für Betreiber kritischer Infrastrukturen (z. B. Energie, Wasser, Gesundheit, IT/TK)
• Ziel: Nachweis angemessener organisatorischer und technischer Maßnahmen zur IT-Sicherheit
• Audit alle 2 Jahre durch eine unabhängige, vom BSI zugelassene Stelle
• Grundlage kann sein:
  • ISO 27001
  • ISO 27001 auf Basis von IT-Grundschutz
  • Branchen-Sicherheitskataloge (z. B. Energiewirtschaft)
• Ergebnis: Prüfbericht + Management Summary → an das BSI

Abgrenzung

• IT-Grundschutz = Werkzeugkasten / Methodik (national)
• ISO 27001 = formaler Managementsystem-Standard (international)
• KRITIS-Audit = gesetzlich vorgeschriebene Prüfung für kritische Infrastrukturen

Zusammenhang IT-Grundschutz und ISO 27001

• ISO 27001 ist ein internationaler Managementsystem-Standard (ISMS).
• IT-Grundschutz ist eine Methodik mit Bausteinen, die vom BSI bereitgestellt wird.
• Das BSI ermöglicht die Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz:
  • IT-Grundschutz liefert die Methodik zur Umsetzung der ISO-Anforderungen.
  • ISO 27001 liefert den formalen Standard für das Zertifikat.
• Ergebnis: Wer IT-Grundschutz vollständig umsetzt und prüfen lässt, kann ein international anerkanntes ISO 27001-Zertifikat erhalten.