Informationssicherheit in handlichen Päckchen ISIS12

Größe: px

Ab Seite anzeigen:

Download "Informationssicherheit in handlichen Päckchen ISIS12"

Irma Neumann
vor 8 Jahren
Abrufe

1 Informationssicherheit in handlichen Päckchen ISIS12 Der praxistaugliche Sicherheitsstandard für kleine und mittelgroße Unternehmen IT-Trends Sicherheit, 20. April 2016

2 Referentin Claudia Pock Sales Managerin IT-Security Seit 2014 bei Applied Security GmbH Folie 2

3 Agenda Begrüßung und Vorstellung Kurzübersicht ISMS Motivation für ein ISMS Aktuelle Management-Systeme ISIS12 FAQ Folie 3

4 Applied Security GmbH Gegründet 1998 in Großwallstadt Niederlassungen in Berlin, Essen, Groß-Umstadt und Hamburg Top 15 Unternehmen der deutschen IT-Sicherheits- Unternehmen (Quelle: BMWi) Produkt- und Beratungs-Bereich fideas -Produktlinie Security-Consulting, Fokus ISMS (ISO, BSI, VdS und ISIS12) zertifizierter ISIS12-Dienstleister seit Oktober Folie 4

(Quelle: BMWi) Produkt- und Beratungs-Bereich fideas -Produktlinie Security-Consulting,

5 Kurzübersicht ISMS

6 ISMS - Definition Das Information Security Management System (ISMS, engl. für Managementsystem für Informationssicherheit ) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern. Quelle: Folie 6

innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren,

7 Gründe für ein ISMS / ISIS12

8 ISIS12 Motivation Der Mittelstand ist mit den Herausforderungen Wirtschaftsspionage, Datenschutz und IT-Verfügbarkeit konfrontiert Informationssicherheits- und IT-Service Management Systeme (ISMS / IT-SM) unterstützen Unternehmen dabei Existierende Standards (ISO/IEC 27001, BSI IT-Grundschutz, ITIL ) sind in der Regel für den Mittelstand zu komplex! Unternehmen benötigen ein einfaches Verfahren, das die Einstiegshürde nicht zu hoch setzt Folie 8

unterstützen Unternehmen dabei Existierende Standards (ISO/IEC 27001, BSI IT-Grundschutz, ITIL ) sind in der Regel

9 Aktuell verfügbare Management-Systeme

10 ISO 2700x vs. IT-Grundschutz Folie 10

11 ISIS12 - Überblick Ein Verfahren zur Einführung und Verbesserung der Informationssicherheit in mittelständischen Unternehmen Kann Vorstufe zum ISO/IEC und BSI IT-Grundschutz- Zertifikat sein (Informations- Sicherheits-Managementsystem ISMS light ) Verständliche Anleitung zum Selbermachen begleitet von den ISIS12-Dienstleistern ISIS12-Workflow wird durch ein Softwaretool dargestellt Zertifizierbar durch die DQS (Deutsche Gesellschaft zur Zertifizierung von Managementsystemen) Folie 11

light ) Verständliche Anleitung zum Selbermachen begleitet von den ISIS12-Dienstleistern ISIS12-Workflow wird durch ein

12 ISIS12 Was ist neu? Verständlich beschriebener 12-stufiger Prozess, der den Einstieg ins ISMS erleichtert ISMS wird mit IT-Service Management verknüpft Nur unternehmenskritische Anwendungen werden betrachtet Spezifischer ISIS12-Maßnahmensatz wird vorgegeben 12-stufiger Prozess als Workflow abgebildet Folie 12

erleichtert ISMS wird mit IT-Service Management verknüpft Nur

13 ISIS12-Zertifikat Möglichkeit zur Zertifizierung durch die DQS Zertifikatsgültigkeit von 3 Jahren, inkl. 2 Überwachungsaudits Auditierung durch zertifizierte ISIS12-Auditoren Unterstützung durch ISIS12- Dienstleister möglich Folie 13

2 Überwachungsaudits Auditierung durch zertifizierte

14 Vergleich ISIS12 IT-Grundschutz ISO2700x Kriterien ISIS12 ISO2700x Reihe IT-Grundschutz Herausgeber Zielgruppe Bayerischer IT- Sicherheitscluster e.v. KMUs und öffentliche Verwaltungen International Standards Organisation Organisationen jeder Größenordnung Bundesamt für Sicherheit in der Informationstechnik Organisationen jeder Größenordnung und öffentliche Verwaltungen Dokumentation Ca. 170 Seiten Ca. 400 Seiten Ca Seiten Detaillierung Mittel Minimalistisch abstrakt Maximal detailliert Aufbau Umfang des Maßnahmenkatalog es Selektierte Bausteine und Maßnahmen Ca. 400 Maßnahmen Maßnahmenziele und Empfehlungen Ca. 150 Maßnahmenziele und Empfehlungen Risikoanalyse Indirekt Grundsätzlich Ergänzend Umsetzung Konkret formulierte Maßnahmen umsetzen Allgemeingültig formulierte Maßnahmen umsetzen Umfassende Bausteine, Gefährdungen und Maßnahmen Ca Maßnahmen Konkret formulierte Maßnahmen umsetzen Zertifizierung DQS-Zertifizierung ISO-Zertifizierung ISO-Zertifizierung auf Basis IT-Grundschutz Folie 14

öffentliche Verwaltungen Dokumentation Ca. 170 Seiten Ca. 40

15 Die ISIS12 Methodik

16 Die 12 Schritte der ISIS12 Methodik Folie 16

17 Phase 1: Initialisierungsphase Schritt 1: Leitlinie erstellen Beschreibt die Sicherheitsziele und das angestrebte Sicherheitsniveau des Unternehmens Gesamtverantwortung der Unternehmensleitung Darstellung des Zwecks, der Mittel und der Strukturen Schritt 2: Mitarbeiter sensibilisieren Einbindung aller Mitarbeiter und Organisationsebenen in den IS-Prozess Darstellung der Notwendigkeit des Prozesses Folie 17

des Zwecks, der Mittel und der Strukturen Schritt 2: Mitarbeiter sensibilisieren Einbindung aller

18 Phase 2: Aufbau- und Ablauforganisation Schritt 3: Informationssicherheits- Team aufbauen Definition einer Aufbauorganisation ISB (IT- Sicherheitsbeauftragter) Datenschutzbeauftragter (falls vorhanden) Mitarbeiter aus IT- Bereich ISIS12-Dienstleister Vertreter der Anwender Eventuell: QM- Beauftragter Schritt 4: IT- Dokumentation erstellen Festlegung einer strukturierten IT- Dokumentation: Rahmendokumente Betriebshandbuch Notfall-Handbuch Zentrale Basis-Vorlage Anpassung aktueller Dokumentation Schritt 5: IT- Servicemanagement Prozess einführen Definition der Basisprozesse: Wartung Änderung Störungsbeseitigung Folie 18

Beauftragter Schritt 4: IT- Dokumentation erstellen Festlegung einer strukturierten IT- Dokumentation: Rahmendokumente Betriebshandbuch Notfall-Handbuch

19 Phase 3: Operative Phase (I) Schritt 6: Kritische Anwendungen identifizieren Bzgl. der Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit Ableitung der MTA (Maximal tolerierbare Ausfallzeit) und SLA (Service Level Agreement) Schritt 7: IT-Struktur analysieren Zuordnung von Anwendungen zu Systemen und Infrastrukturen Schutzbedarf, MTA und SLA der Applikationen werden auf die IT- Systeme und Infrastruktur vererbt Schritt 8: Sicherheitsmaßnahmen modellieren Prüfung der IT- Strukturanalyse Zuordnung von Bausteinen und Maßnahmen aus dem ISIS12-Katalog Folie 19

Agreement) Schritt 7: IT-Struktur analysieren Zuordnung von Anwendungen zu Systemen und Infrastrukturen Schutzbedarf, MTA und SLA der

20 Phase 3: Operative Phase (II) Schritt 9: IST-SOLL Vergleich Umsetzungsprüfung der Maßnahmen aus dem ISIS12-Katalog Erste Reifegradmessung möglich Schritt 10: Umsetzung Planen Ermittlung von Umsetzungskosten Priorisierung und Konsolidierung der Maßnahmen Erstellung eines Umsetzungsplans Schritt 11: Umsetzen Zu definieren sind Verantwortlichkeiten Termine Ressourcen Folie 20

Umsetzungskosten Priorisierung und Konsolidierung der Maßnahmen Erstellung eines Umsetzungsplans

21 Phase 3: Operative Phase (III) Schritt 12: Revision Erstellung eines Revisionsplans Stetige Optimierung des IT- Sicherheitsmanagement- Systems durch weitere ISIS12-Zyklen ggf. Zertifizierung Zertifizierung Durch die DQS möglich Zertifikatsgültigkeit: 3 Jahre Folie 21

22 FAQ Brauchen wir wirklich ein neues ISMS? Ja. IT-Grundschutz ist für viele Unternehmen zu unflexibel und ISO27001 zu komplex. Wie lange dauert die Einführung von ISIS12? Wie hoch sind die Kosten? Abhängig von der internen Unterstützung; innerhalb von 3-6 Monaten sind gute Ergebnisse möglich. IT-Grundschutz light ist das noch sicher? Sehr guter Einstieg in ein strukturiertes ISMS für KMU. Welche Unterstützungsmöglichkeiten existieren? Ext. Unterstützung ist in jeder Phase möglich (z. B. DL-Pakete der Applied Security), kann interne Wissensträger und Entscheider aber nicht ersetzen. Benötige ich zusätzliche Software? Das ISIS12 Software-Tool kann während des Betriebes des ISMS genutzt werden Folie 22

23 Befürworter ISIS Folie 23

24 Vielen Dank für Ihre Aufmerksamkeit Ihre Ansprechpartner: Frau Claudia Pock Sprechen Sie mit uns. apsec bietet Ihnen umfassenden Service für alle Bereiche der Datensicherheit. Applied Security GmbH Einsteinstraße 2a Großwallstadt Fon: +49 (0) 6022/ Folie 24

Ähnliche Dokumente

ISIS12 INFORMATIONSSICHERHEIT IN MITTELSTÄNDISCHEN UNTERNEHMEN UND ORGANISATIONEN

ISIS12 INFORMATIONSSICHERHEIT IN MITTELSTÄNDISCHEN UNTERNEHMEN UND ORGANISATIONEN 1 Bayerischer IT-Sicherheitscluster e.v. 09.10.2015 REFERENT Claudia Pock Sales Managerin IT Security Applied Security