Warum ein ISMS notwendig ist

Herr Bothe, warum benötigen Unternehmen ein ISMS?

Jens Bothe: Ein Information Security Management System (ISMS) ist für Firmen essenziell, um geschäftskritische Daten zu schützen, das Vertrauen von Kunden und Partnern zu stärken und gesetzliche Vorgaben wie die DSGVO zu erfüllen. In Zeiten zunehmender Cyberbedrohungen und regulatorischer Anforderungen, wie etwa die neuen NIS2- oder DORA-Richtlinien, bietet es den Rahmen, um Risiken zu identifizieren, zu bewerten und geeignete Schutzmaßnahmen zu ergreifen. Ohne ein solches System sind Organisationen anfällig für Sicherheitsvorfälle, die finanzielle und reputative Verluste nach sich ziehen können.

Wie würden Sie die Ziele eines ISMS und seine Bestandteile definieren?

Jens Bothe: Das übergeordnete Ziel eines ISMS ist es, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen in Organisationen sicherzustellen. Es soll gewährleisten, dass Informationen nur von befugten Personen, Systemen oder Prozessen eingesehen oder verwendet werden; dass sie korrekt bleiben und nicht unautorisiert geändert oder manipuliert werden; und dass sie jederzeit verfügbar sind. Um dies zu erreichen, ist als erster Baustein ein Risikomanagement erforderlich.

Das heißt es reicht nicht aus, einfach ein ISMS-Tool zu installieren oder eine ISO/IEC 27001 Zertifizierung zu erlangen. Es braucht eine systematische Kombination von Richtlinien, Prozessen und Technologien, um festzulegen und zu steuern, wie Informationen geschützt werden sollen. Ein weiterer wichtiger Bestandteil sind Trainings, um Mitarbeitende für die Bedeutung von Informationssicherheit zu sensibilisieren und im Umgang mit Informationen unterschiedlicher Art zu schulen. Zu guter Letzt gehört auch die kontinuierliche Verbesserung zu jedem guten ISMS, um den sich schnell verändernden Bedrohungen gerecht zu werden.

Die IT ist ja keine grüne Wiese. Welche vorhandenen Applikationen erleichtern die Einführung eines ISMS?

Jens Bothe: Dass die IT keine grüne Wiese ist, ist in diesem Fall tatsächlich vorteilhaft. Viele Unternehmen haben zum Beispiel bereits ein etabliertes IT Service Management (ITSM) mitsamt zugehörigen Tools und Anwendungen wie einer Service Management Software. Eine bestehende ITSM-Landschaft mit Prozessen wie Incident-, Change- und Problem-Management sowie eine Configuration Management Database (CMDB) bieten eine solide Basis, um ein ISMS aufzubauen und damit Informationssicherheitsrisiken zu bewältigen.

Mehr lesen Sie auf it-daily.net