Informationssicherheits-Managementsysteme (ISMS)

Informationssicherheits-Managementsysteme (ISMS) Grundsätzliches

Definition und Bedeutung

• Ein Informationssicherheits-Managementsystem (ISMS) ist ein systematischer Ansatz zur Verwaltung und Sicherung sensibler Informationen in einer Organisation.
• Es basiert auf definierten Sicherheitsrichtlinien, Verfahren und Kontrollmechanismen, um Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sicherzustellen.
• Die Einführung eines ISMS erfolgt häufig gemäß internationalen Standards wie ISO/IEC 27001, die eine Zertifizierung ermöglichen.
• Ein effektives ISMS hilft Organisationen, Cyberrisiken zu minimieren, gesetzliche Anforderungen zu erfüllen und Sicherheitsvorfälle strukturiert zu behandeln.

Grundprinzipien eines ISMS

• Vertraulichkeit: Sicherstellen, dass nur autorisierte Personen Zugriff auf bestimmte Informationen haben.
• Integrität: Schutz der Daten vor unbefugten Änderungen oder Manipulationen.
• Verfügbarkeit: Sicherstellen, dass Informationen und Systeme jederzeit für berechtigte Nutzer zugänglich sind.
• Risikobasiertes Management: Identifikation und Bewertung von Bedrohungen und Schwachstellen zur Minimierung von Risiken.

Kernbestandteile eines ISMS

• Risikomanagement: Identifikation, Bewertung und Behandlung von Sicherheitsrisiken.
• Sicherheitsrichtlinien: Festlegung und Durchsetzung organisatorischer Maßnahmen zum Schutz von Informationen.
• Zugriffskontrollen: Implementierung von Berechtigungsmechanismen zur Minimierung unautorisierter Zugriffe.
• Schulung und Sensibilisierung: Regelmäßige Schulungen für Mitarbeiter, um Sicherheitsbewusstsein zu fördern.
• Kontinuierliche Verbesserung: Regelmäßige Audits und Überprüfungen zur Anpassung an neue Bedrohungslagen.
• Incident Management: Definition und Umsetzung von Prozessen zur Erkennung, Reaktion und Wiederherstellung nach Sicherheitsvorfällen.

ISMS-Standards und Frameworks

• ISO/IEC 27001: Internationaler Standard für die Implementierung und Zertifizierung eines ISMS.
• NIST Cybersecurity Framework: Leitlinien für das Risikomanagement in der Cybersicherheit.
• BSI IT-Grundschutz: Deutsches Sicherheitskonzept für Behörden und Unternehmen zur Umsetzung eines ISMS.
• COBIT (Control Objectives for Information and Related Technologies): Framework für die IT-Governance mit Fokus auf Sicherheit und Compliance.

Vorteile eines ISMS

• Reduzierung von Cyberrisiken durch systematische Sicherheitsmaßnahmen.
• Verbesserung der Compliance mit regulatorischen Anforderungen und Datenschutzgesetzen.
• Erhöhung des Vertrauens von Kunden und Geschäftspartnern durch zertifizierte Sicherheitsstandards.
• Schnellere Reaktionsfähigkeit auf Sicherheitsvorfälle durch definierte Prozesse und Verantwortlichkeiten.
• Bessere Transparenz und Nachverfolgbarkeit von Sicherheitsmaßnahmen innerhalb der Organisation.

Implementierung eines ISMS

• Festlegen von Sicherheitsrichtlinien und Zielen basierend auf den Anforderungen der Organisation.
• Durchführung einer Risikoanalyse, um Bedrohungen und Schwachstellen zu identifizieren.
• Einführung technischer und organisatorischer Sicherheitsmaßnahmen.
• Regelmäßige Überprüfung und Verbesserung des Systems durch Audits und Bewertungen.
• Sensibilisierung und Schulung der Mitarbeiter zur Einhaltung der Sicherheitsrichtlinien.

Unterstützung durch Tools

• Es gibt verschiedene Softwarelösungen, die Organisationen bei Aufbau und Betrieb eines ISMS unterstützen können, z. B.:

 - Verinice
 - HiScout ISMS
 - SAVe 
 - ibi systems iris
 - GS-Tool (BSI, eingestellt aber noch verbreitet)
 - andere kommerzielle GRC-Plattformen (Governance, Risk & Compliance)

ISMS Tools

verinice

• Open-Source-Tool von SerNet für ISMS nach ISO/IEC 27001 und BSI IT-Grundschutz.
• Community Edition (kostenlos) und Enterprise-Version (kommerziell).
• Unterstützt Modellierung von Organisationen, Prozessen, IT-Systemen und Bausteinen.
• Geeignet für Behörden und Unternehmen, auch für ISO-27001-Zertifizierungsvorbereitung.

HiScout ISMS

• Kommerzielle Lösung, in vielen Behörden und Konzernen im Einsatz.
• Starke Integration in BSI IT-Grundschutz und ISO 27001.
• Erweiterbar um Module für Datenschutz und Business Continuity Management.
• Fokus auf automatisiertes Berichtswesen und Audit-Support.

ibi systems iris

• Deutsches GRC-Tool (Governance, Risk, Compliance).
• Unterstützt Risikomanagement, Informationssicherheit und Datenschutz.
• Intuitive Weboberfläche, geeignet für mittlere und große Unternehmen.
• Starker Fokus auf Dashboards und Kennzahlen.

GS-Tool (BSI)

• Älteres Werkzeug des BSI für den IT-Grundschutz (bis 2022 offiziell gepflegt).
• Kostenlos, wurde lange von Behörden und kleinen Unternehmen genutzt.
• Eingeschränkte Weiterentwicklung, aber teilweise noch in Altprojekten im Einsatz.
• Mittlerweile ersetzt durch modernere Tools (z. B. verinice oder HiScout).

Weitere Plattformen

• Markt bietet zahlreiche kommerzielle GRC-Lösungen (z. B. Risk2Value, RSA Archer).
• Zielgruppe: vor allem Konzerne mit integriertem Managementansatz.
• Fokus: Risiko- und Compliance-Management, nicht nur ISMS.

Abgrenzung IT-Grundschutz – ISO 27001 – KRITIS-Audit

IT-Grundschutz

• Deutscher Standard des BSI
• Stellt Bausteine, Maßnahmen und Vorgehensweisen bereit (Kataloge)
• Ziel: systematische Informationssicherheit in Organisationen
• Fokus auf Vollständigkeit und Methodik (Schutzbedarf → Bausteine → Maßnahmen)
• Ergebnis: IT-Sicherheitskonzept mit dokumentierten Anforderungen, Umsetzung, Restrisiken

ISO 27001

• Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS)
• Basiert auf der High Level Structure (HLS) der ISO-Normen
• Enthält Annex A mit 93 Controls (Themenbereiche: Organisation, Technik, Personal, Lieferkette)
• Zertifizierung weltweit anerkannt
• BSI bietet Variante „ISO 27001 auf der Basis von IT-Grundschutz“ an
  • Kombiniert internationale Anerkennung (ISO 27001) mit nationalen Bausteinen (Grundschutz)

KRITIS-Audit

• Spezieller Prüfrahmen nach dem BSI-Gesetz (§8a BSIG)
• Verpflichtend für Betreiber kritischer Infrastrukturen (z. B. Energie, Wasser, Gesundheit, IT/TK)
• Ziel: Nachweis angemessener organisatorischer und technischer Maßnahmen zur IT-Sicherheit
• Audit alle 2 Jahre durch eine unabhängige, vom BSI zugelassene Stelle
• Grundlage kann sein:
  • ISO 27001
  • ISO 27001 auf Basis von IT-Grundschutz
  • Branchen-Sicherheitskataloge (z. B. Energiewirtschaft)
• Ergebnis: Prüfbericht + Management Summary → an das BSI

Abgrenzung

• IT-Grundschutz = Werkzeugkasten / Methodik (national)
• ISO 27001 = formaler Managementsystem-Standard (international)
• KRITIS-Audit = gesetzlich vorgeschriebene Prüfung für kritische Infrastrukturen

Zusammenhang IT-Grundschutz und ISO 27001

• ISO 27001 ist ein internationaler Managementsystem-Standard (ISMS).
• IT-Grundschutz ist eine Methodik mit Bausteinen, die vom BSI bereitgestellt wird.
• Das BSI ermöglicht die Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz:
  • IT-Grundschutz liefert die Methodik zur Umsetzung der ISO-Anforderungen.
  • ISO 27001 liefert den formalen Standard für das Zertifikat.
• Ergebnis: Wer IT-Grundschutz vollständig umsetzt und prüfen lässt, kann ein international anerkanntes ISO 27001-Zertifikat erhalten.

Quasi-Standard (IT-GS, mit BSI-S 200-1, 200-2, 200-3, IT-GS-Kataloge ISO/IEC 27001 und 27701)

IT-GS

Übersicht

BSI-Standard 200-1 Managementsysteme für Informationssicherheit (ISMS)

(Management und ISB)

• Dieser Standard stellt die Grundlage dar und fokussiert sich auf die Anforderungen und die Struktur eines ISMS.
• Er bietet einen Überblick und Rahmenbedingungen zur Implementierung und Aufrechterhaltung eines ISMS.
• Dies schliesst die Entwicklung von Sicherheitsrichtlinien und der Organisation der Informationssicherheit ein.

BSI-Standard 200-2 IT-Grundschutz-Methodik

(Für die Admins wichtig)

• Standard 200-2 geht auf die praktische Anwendung und Implementierung der im ISMS festgelegten Sicherheitsstrategien ein.
• Er behandelt, wie man die Sicherheitsmaßnahmen durch eine detaillierte Methodik und Modellierung von Geschäftsprozessen.
• Als auch die effektive Umsetzung von IT-Systemen, um spezifische Sicherheitsanforderungen zu erfüllen.

BSI-Standard 200-3 Risikomanagement

(Management und ISB)

• Dieser Standard konzentriert sich auf das Risikomanagement innerhalb des ISMS.
• Er leitet Organisationen an, wie sie Risiken identifizieren, bewerten und behandeln können.
• Er bietet eine tiefgehende Anleitung zum Aufbau eines Risikomanagementprozesses
• Die geschieht umeine systematische Handhabung von Sicherheitsrisiken ermöglicht und damit die Grundlage für eine informierte Entscheidungsfindung in der Informationssicherheit schafft.

Die Standards kurz und knapp

• BSI-S 200-1
• BSI-S 200-2
• BSI-S 200-3

Sollte noch aufgneommen werden

Notfallmanagment (Betrifft Zusammnearbeit von ISB und Admins)

• BSI-S 100-4

IT-GS Kataloge

Übersicht

ISO/IEC 27001 Informationssicherheits-Managementsysteme (ISMS)

• ISO/IEC 27001 bietet einen umfassenden Rahmen für die Einrichtung, Implementierung, Überwachung und Verbesserung eines Informationssicherheits-Managementsystems.
• Die Norm legt allgemeine Anforderungen an das Management der Informationssicherheit fest, einschließlich Risikobewertung und Risikobehandlung, um die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu schützen.
• Sie ist darauf ausgelegt, Organisationen jeder Größe oder Branche dabei zu helfen, die Sicherheit ihrer Informationen systematisch zu managen.

ISO/IEC 27701 Datenschutz-Managementsysteme (PIMS)

• ISO/IEC 27701 baut auf ISO/IEC 27001 auf und fügt spezifische Anforderungen und Leitlinien hinzu, um Organisationen dabei zu unterstützen, Datenschutzgesetze und -vorschriften wie die DSGVO zu erfüllen.
• Diese Norm erweitert die ISMS-Anforderungen von ISO/IEC 27001, indem sie Datenschutzkontrollen und -verfahren einführt, die speziell darauf ausgerichtet sind, die Privatsphäre zu schützen und die Rechenschaftspflicht in Bezug auf personenbezogene Daten zu erhöhen.
• Sie richtet sich sowohl an Datenverantwortliche als auch an Datenverarbeiter und ist darauf ausgelegt, durch Datenschutzmanagement sowohl rechtliche Compliance als auch Kundevertrauen zu fördern.

Unterschiede und Beziehungen

• Während ISO/IEC 27001 ein breites Rahmenwerk für Informationssicherheit bietet, spezialisiert sich ISO/IEC 27701 auf den Datenschutz und ergänzt ISO/IEC 27001 um praxisorientierte Anleitungen zur Erfüllung spezifischer Datenschutzanforderungen.
• ISO/IEC 27701 kann als eine Erweiterung angesehen werden, die Organisationen ermöglicht, ein integriertes Managementsystem zu schaffen, das sowohl Informationssicherheit als auch Datenschutz adressiert.
• Die Implementierung von ISO/IEC 27701 setzt voraus, dass eine Organisation bereits ein nach ISO/IEC 27001 zertifiziertes ISMS hat oder gleichzeitig implementiert.

Die Standards kurz und knapp

• ISO/IEC 27001
• ISO/IEC 27701

Unrelevant da die Kataloge 27001 dies beinhalten ..

Informationssicherheits-Managementsysteme (ISMS)

Wer/Warum benötigt ISMS

• Organisationen jeder Größe und Branche, die die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen sicherstellen wollen.
• Besonders kritisch für Einrichtungen, die sensible Daten verarbeiten oder gesetzlichen und regulatorischen Anforderungen unterliegen.

Funktionsweise

• ISMS umfasst Richtlinien, Prozesse und Maßnahmen, die darauf abzielen, Risiken für die Informationssicherheit zu identifizieren, zu bewerten und zu mindern.
• Es berücksichtigt sowohl technische als auch organisatorische Aspekte und bezieht alle Ebenen der Organisation ein.

Rahmenbedingungen

• Die Einrichtung eines ISMS wird durch internationale Standards wie ISO/IEC 27001 und die BSI-Standards 200-Serie geleitet.
• Diese Standards bieten einen Rahmen für die Implementierung und kontinuierliche Verbesserung des ISMS.

Aufbau

• Festlegung der Sicherheitspolitik und der Ziele der Informationssicherheit.
• Identifizierung und Bewertung von Informationsrisiken.
• Entwicklung und Implementierung von Risikomanagementmaßnahmen.
• Regelmäßige Überprüfung und Anpassung der Sicherheitsmaßnahmen an sich ändernde Bedingungen.

Entscheidende Faktoren

• Engagement der obersten Leitungsebene für die Informationssicherheit.
• Klare Definition von Rollen, Verantwortlichkeiten und Prozessen innerhalb des ISMS.
• Bewusstseinsbildung und Schulung der Mitarbeiter in Sicherheitsfragen.
• Kontinuierliche Überwachung, Überprüfung und Verbesserung des ISMS.

ISO/IEC 27001 und 27701

• ISO/IEC 27001 ist die führende internationale Norm für ISMS, die Anforderungen für die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines ISMS definiert.
• ISO/IEC 27701 erweitert ISO/IEC 27001 um Anforderungen und Leitlinien zum Datenschutzmanagement, insbesondere im Kontext des Schutzes personenbezogener Daten.