Informationssicherheit im Unternehmen verankern
Am Anfang stehen die für Ihren Betrieb wichtigen Informationen, die damit verbundenen Risiken und die Zuständigkeiten. Die Bestandsaufnahme erfolgt gemeinsam mit Geschäftsführung, Fachbereichen und IT. Grundlage sind Ihre Geschäftsprozesse, bestehende Anforderungen und bereits umgesetzte Maßnahmen.
ISMS nach ISO 27001
Die Beratung zum Aufbau und zur Weiterentwicklung eines ISMS nach ISO/IEC 27001 umfasst Geltungsbereich, Sicherheitsziele, Verantwortlichkeiten und den Umgang mit Risiken. Die erforderlichen Abläufe und Dokumente werden in die bestehende Organisation eingebunden.
BSI IT-Grundschutz
Die Methodik des BSI IT-Grundschutzes ermöglicht eine strukturierte Betrachtung von Prozessen, Anwendungen und Systemen. Strukturanalyse, Schutzbedarfsfeststellung und der Abgleich vorhandener Maßnahmen mit relevanten Anforderungen machen den weiteren Handlungsbedarf sichtbar.
Risiken und betriebliche Auswirkungen bewerten
Sicherheitsmaßnahmen brauchen eine nachvollziehbare Begründung. Untersuchungsumfang und Bewertungskriterien werden mit Ihnen festgelegt. Abhängigkeiten und die Annahmen hinter den Ergebnissen werden dokumentiert.
Risikoanalysen
Relevante Gefährdungen, Eintrittswahrscheinlichkeiten und mögliche Schäden werden systematisch bewertet. Auf dieser Grundlage entscheiden die Verantwortlichen, welche Risiken vorrangig behandelt werden sollen.
Business-Impact-Analysen
Die Analyse untersucht die Auswirkungen unterbrochener Geschäftsprozesse im Zeitverlauf. Sie erfasst benötigte Ressourcen und Abhängigkeiten. Die Ergebnisse helfen, kritische Prozesse zu bestimmen und Anforderungen an Wiederanlauf und Verfügbarkeit festzulegen.
Sicherheitskonzepte
Aus Schutzbedarf, Risikoanalysen und betrieblichen Anforderungen entsteht ein Sicherheitskonzept. Es beschreibt die vorgesehenen Maßnahmen, ihre Begründung und Priorität sowie die Voraussetzungen für die Umsetzung. Offene Entscheidungen und verbleibende Risiken werden benannt.
Technische und organisatorische Maßnahmen
Aus den Analyseergebnissen werden konkrete Aufgaben abgeleitet. Bei der Auswahl der Maßnahmen zählen ihre Wirkung, der Umsetzungsaufwand und ihre Anwendbarkeit im laufenden Betrieb.
Technische Absicherung
Technische Maßnahmen betreffen beispielsweise Berechtigungen, Netzwerksegmentierung, sichere Fernzugriffe, Systemkonfiguration und Datensicherung. Die Umsetzung wird mit Ihrer IT abgestimmt und kann bei Bedarf im Rahmen der IT-Betreuung übernommen werden.
Organisation und Richtlinien
Klare Zuständigkeiten und Sicherheitsrichtlinien regeln wiederkehrende Aufgaben. Dazu gehören die Vergabe von Zugriffsrechten, der Umgang mit Änderungen und die Meldung von Sicherheitsvorfällen.
Security Awareness
Awareness-Maßnahmen richten sich nach den Tätigkeiten und Risiken Ihrer Mitarbeiter. Schulungen, Begleitmaterialien und interne Kommunikation werden mit den geltenden Regeln und Meldewegen abgestimmt. Weitere Informationen finden Sie unter Security-Awareness-Programme.
Umsetzung und Weiterentwicklung begleiten
Entscheidungen vorbereiten
Handlungsoptionen und ihre Auswirkungen werden so aufbereitet, dass Geschäftsführung und Verantwortliche über Prioritäten und den Umgang mit Risiken entscheiden können. Daraus folgen Zuständigkeiten, Termine und die nächsten Umsetzungsschritte.
Maßnahmen im Betrieb überprüfen
Der dokumentierte Umsetzungsstand und die Bewertung der Wirksamkeit zeigen, ob Maßnahmen ihren vorgesehenen Zweck erfüllen. Änderungen an Prozessen, Systemen oder Anforderungen fließen in die weitere Pflege des ISMS und der Sicherheitskonzepte ein.
