Informationssicherheit (ISO 27001 & TISAX)

Informationssicherheit ist oftmals abstrakt. Dabei Risiken zu beherrschen und zu managen kann ein komplexes Unterfangen sein. Wir entwickeln passgenaue Lösungen und wollen, dass unsere Kund:innen unsere Maßnahmen zur Sicherstellung der Informationssicherheit genau verstehen und im Tagesgeschäft nutzen können.

Der Wert von Informationen wird in Unternehmen vielfach unterschätzt. Zugleich wird Informationssicherheit oft auf die reine Informationstechnik (IT-Sicherheit) reduziert, anstatt jede Art von Information, ob in elektronischer Form, ausgedruckt auf Papier oder als gesprochenes Wort mit einzubeziehen.
Ein Informationssicherheitssystem (ISMS) nach ISO 27001 definiert Verfahren, Regeln und Tools, mit denen sich die Informationssicherheit steuern, kontrollieren, sicherstellen und fortlaufend optimieren lässt – kurz: Mit Hilfe eines ISMS kann der Schutz von Informationen ein integraler Bestandteil Ihrer Unternehmensprozesse werden.

Kontaktieren Sie uns!

Unser Leistungsversprechen

//
Ein aktueller Überblick über Ihre Prozess- und IT-Landschaft bildet die Grundlage, um zu verstehen, wo Sie stehen und welche strategischen und sinnvollen Schritte für ein funktionierendes ISMS vollzogen werden müssen.
//
Wir unterstützen Sie bei der Einführung von erforderlichen Prozessen, der Organisationsstruktur und einer rechtlich notwendigen Dokumentation für ein Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001.
//
Unsere Kompetenzen im Bereich Informationstechnologie sowie Projekt- und Prozessmanagement – verbunden mit relevanten Branchenerfahrungen unserer Berater:innen – machen LEITWERK zu einem starken Partner für ISMS-Projekte.

Die Sicherheit Ihrer Informationen ist ein zentraler Faktor für Ihren Geschäftserfolg. Wir sorgen für ein zugeschnittenes Informationssicherheitsmanagementsystem

Lilian Stecher

Senior Consultant

Unser Vorgehen
Die Bausteine bei der Einführung eines Informationssicherheitssystems (ISMS)

1. Phase 06

ISMS Intensiv-Workshop

ISMS Intensiv-Workshop
Scope, Asset, Gefährdung … Kennen Sie den Normtext und wissen, wie die Begriffe einzuordnen sind? Die Verwirrung ist groß. Was steckt dahinter, was genau ist zu tun und vor allem, wie?
Ein Grundverständnis zum Thema und den relevanten Begrifflichkeiten ist unerlässlich. In einem Halb-Tagesworkshop erhalten die beteiligten Projektmitarbeiter:innen das ISMS-Grundlagenwissen zum ISO/IEC 27001. Die Auseinandersetzung mit der Norm ist essentiell, da das entwickelte ISMS nur nachhaltig wirken kann, wenn es von allen Beteiligten verstanden wird.
GAP-Analyse & Maßnahmenplan
Mittels einer Gap-Analyse werden die bereits vorhandenen Prozesse, Dokumente und Aktivitäten mit den Anforderungen an die ISO 27001 abgeglichen und bestehende Lücken identifiziert. Anschließend erfolgt eine Ableitung der notwendigen Maßnahmen zur Normerfüllung und die Erstellung eines Maßnahmenplans mit den dedizierten Ansprechpartner:innen.
Prozesse & Richtlinien
Ihre Geschäftsprozesse sind elementare Bestandteile eines wirksamen ISMS und werden durch geschickte Anpassung normkonform gestaltet und dokumentiert. Neben Prozesse und Maßnahmen sind auch verabschiedete Richtlinien zu dokumentieren. Für das nach ISO 27001 geforderte Dokumentationsrahmenwerk stellen wir ein Set an Vorlagen zur Verfügung. Basierend auf diesen Vorlagen wird die für Ihr Unternehmen passende normkonforme Dokumentation erstellt, einschließlich der Leitlinie für Informationssicherheit, Assetinventar und dem notwendigen Risikomanagement.
Risikomanagement
Für ein risikobasiertes ISMS ist es wichtig, es als Teil der internen Abläufe des Unternehmens zu gestalten und in die Unternehmenssteuerung des Top Managements zu integrieren. Nach Möglichkeit auf vorhandenen Prozessen aufbauend, identifizieren wir Ihre zu schützenden Unternehmenswerte. Bedrohungen und Schwachstellen werden bewertet und potenzielle Auswirkungen und Eintrittswahrscheinlichkeiten definiert. Mit der Identifikation von Maßnahmen zur Risikoreduzierung etablieren wir abschließend ein Asset-, Risiko- und Maßnahmenmanagement, das gemäß den festgesetzten Vorgaben fortlaufend gesteuert werden muss.
Schulungen im Team
Um die Informationssicherheit zu gewährleisten, müssen Ihre Mitarbeiter:innen wissen, wie sie sich verhalten sollen. Dafür führen wir Informations- und Schulungsveranstaltungen zur Vermittlung der Inhalte der (neu) erarbeiteten Abläufe, Dokumente und Vorgaben des ISMS durch.
Internes Audit / Readiness Assessment
Nach der Implementierungsphase wird ein internes Audit zur Bewertung der Effektivität der umgesetzten Maßnahmen durchgeführt. Dabei wird die Dokumentation Ihres ISMS geprüft sowie dessen Umsetzung und Wirksamkeit in der Praxis. Die Ergebnisse können zugleich für das Management-Reporting genutzt werden.

Projektbeispiel

Implementierung eines ISMS nach ISO 27001 im Bereich Dienstleistungserbringung

Beauftragungsumfang

Unser Kunde benötigte dringend Unterstützung um einen Nachweis über vorhandene Informationssicherheit zu erbringen, sowie einen nachhaltigen Kompetenzaufbau in diesem Gebiet zu gewährleisten. Im Rahmen der Beauftragung unterstützten zwei erfahrenen LEITWERK Berater:innen das 7-köpfige Team des Kunden.

Ausgangssituation

Zum Schutz eingesetzter Informationen und der zu erbringenden Dienstleistung wird seitens vieler Unternehmen ein Nachweis der Informationssicherheit in Form eines ISO 27001 Zertifikats vorausgesetzt. Daher wurde auf Basis der Unternehmensvorgaben ein Projekt für die Implementierung eines ISMS initiiert, mit dem auch zukünftig schnell und flexibel auf sich ändernde Sicherheitsanforderungen reagiert werden kann.

Lösungsansatz

Im ersten Schritt wurden anhand einer GAP-Analyse alle existierenden Dokumentationen, Prozesse und Tools intensiv gescreent. Dieser Schritt beinhaltet außerdem eine Strukturanalyse sowie erste Modellierungen und Basissicherheitschecks. Anschließend legten wir den Focus auf die Konzeption eines ISMS (Information Security Management System) und die Feststellung der Schutzbedarfe. Während des gesamten Projekts wurde die Befähigung der Mitarbeiter:innen als essenzieller Baustein betrachtet. Dies beinhaltete im Speziellen das Vermitteln kommunikativer Skills, um zukünftig alle Stakeholder frühzeitig zu involvieren.

Ergebnis

Durch die gezielte Kombination von Projekt-, Prozessmanagement & IT-Know-how gelang die erfolgreiche DIN ISO 27001 -Zertifizierung des eingeführten ISMS. Standardisierte Sicherheitsprozesse ermöglichen es außerdem, flexibel auf alle sicherheitsrelevanten Ereignisse zu reagieren. Allen Stakeholdern ist die Wichtigkeit des ISMS bewusst und die Informationssicherheit wurde als wichtiger Baustein für die Zukunft in den Unternehmenszielen verankert.

Ihre Vorteile
...wenn Sie sich mit LEITWERK für ein ISMS nach ISO 27001 oder TISAX entscheiden

Ganzheitlicher Ansatz
Ganzheitlicher Ansatz, der technische Sicherheitsmechanismen mit organisatorischen Maßnahmen vereint und so die Sicherheit zu einem integralen Bestandteil der Geschäftsprozesse werden lässt. Durch unsere Erfahrung wird Ihr ISMS geschäftsprozessorientiert ausgerichtet.
ISMS als Wettbewerbsfaktor
Die Sicherstellung gesetzlicher und vertraglicher Anforderungen fördern eine positive Innen- und Außenwirkung.
Struktur
Mithilfe eines ISMS wird der Blick auf das aktuelle Sicherheitsniveau der IT-Systeme und der Geschäftsprozesse gerichtet. Wir decken Schwachpunkte auf, geben Tipps zur Schließung von Lücken und schulen Ihre Mitarbeiter:innen im Umgang mit sensiblen Daten.
Entscheidungsgrundlage für Mitteleinsatz
Die Ergebnisse der Risikobetrachtung können als Entscheidungsgrundlage genutzt werden. So können die tatsächlichen Investitionsbedarfe ermittelt und fehlerhafte Mitteleinsätze vermieden werden.
Transparenz über IT-Systeme und Risiken
Durch den Aufbau eines ISMS erlangen Sie Transparenz über Ihren IT-Systemverbund, die Unternehmensabläufe sowie über die daraus entstehenden Risiken. Ein ISMS bietet den Rahmen für einen bewussten Umgang mit Risiken und Umsetzungsstrategien für die Reduktion Ihres Risikopotentials.
Sicherheitsbewusstsein in der gesamten Organisation
Durch die Etablierung eines ISMS wird ein allgemein erhöhtes und regelmäßiges Sicherheitsbewusstsein in der gesamten Organisation erreicht.