ISIS12 Informations Sicherheitsmanagement System in 12 Schritten Informationssicherheit für den Mittelstand

Transkript

1 ISIS12 Informations Sicherheitsmanagement System in 12 Schritten Informationssicherheit für den Mittelstand Cloud- und Informationssicherheit -praktisch umgesetzt in KMU- IHK München (27. Februar 2014) 1 Bayerischer IT-Sicherheitscluster e.v

2 BSP. SECURITY Fokus: IT-Compliance Beratung Gegründet: 2008 Sitz: Regensburg Aktionsradius: D, A Kunden: Öffentliche Hand Bundes- und Landesbehörden Kommunen Anstalten des öffentlichen Rechts Privatwirtschaft Mittelstandsunternehmen Mitgliedschaften: 2 Bayerischer IT-Sicherheitscluster e.v

3 Bayerischer IT Sicherheitscluster e.v. Gegründet 2006 (Verein: 2013) Hauptsitz: Regensburg Geschäftsstellen: Augsburg, Nürnberg ca. 40 (100) Mitglieder Förderung von Kooperationen und Öffentlichkeitsarbeit Netzwerke: Cloud Security ISA+ ISIS Bayerischer IT-Sicherheitscluster e.v

4 ISIS12 Projektpartner ISIS12 Dienstleister Bits & Bytes GmbH BIZTEAM GmbH BSP. SECURITY DEXevo GmbH mabunta GmbH Materna GmbH* SECIANUS secofor GmbH Tercenum AG* TREUWERK CONSULT GmbH Weitere Projektpartner Bayerischer IT-Sicherheitscluster e.v. DQS GmbH OTH Regensburg R-Tech GmbH Universität Regensburg (Lehrstuhl für Wirtschaftsinformatik I) (* Lizenznehmer) 4 Bayerischer IT-Sicherheitscluster e.v

5 ISIS12 Wegweiser und Fahrplan für KMU? 5 Bayerischer IT-Sicherheitscluster e.v

6 Informationssicherheit für KMU- warum? Schützenswerte Grundwerte oder warum investieren KMU in den Bereich (Informations-)Sicherheit? Vertraulichkeit Wirtschaftsspionage, Patente, Gesetze (BDSG ) Integrität Korrektheit der Daten, Produktqualität (Verträge) Verfügbarkeit Verträge mit Kunden, Notfallvorsorge (BCM, GmbHG) 6 Bayerischer IT-Sicherheitscluster e.v

7 ISIS12 Motivation Der Mittelstand ist mit den verschiedensten Themen konfrontiert: Vertraulichkeit, Integrität, Verfügbarkeit Informationssicherheits- und IT-Service Management Systeme (ISMS/IT-SM) können Unternehmen dabei unterstützen. These 1: Existierende Standards sind in der Regel für den Mittelstand zu komplex! These 2: KMU benötigen einfachere Verfahren! Man sollte alles so einfach wie möglich sehen - aber auch nicht einfacher. (Albert Einstein) 7 Bayerischer IT-Sicherheitscluster e.v

8 Standards zur Informationssicherheit (I) Sicherheitsstandards verbessern das Sicherheitsniveau von Organisationen. Welche Standards gibt es? Welche Standards sind für KMU geeignet? 8 Bayerischer IT-Sicherheitscluster e.v

9 Standards zur Informationssicherheit (II) ISO/IEC Information technology Security techniques - Information security management systems requirements spezification. Der Standard für die Zertifizierung von Informations- Managementsystemen. Auf wenigen Seiten werden allgemeine und sehr abstrakte Empfehlungen für die Einführung, den Betrieb und der Verbesserung eines ISMS gegeben. 9 Bayerischer IT-Sicherheitscluster e.v

10 Standards zur Informationssicherheit (III) BSI Standards IT-Grundschutz Die BSI-Standards (BSI 100-1, BSI und BSI 100-3) und die IT-Grundschutzkataloge enthalten Methoden, Prozessen und Verfahren zur Etablierung eines ISMS. Das BSI greift dabei Bereiche auf, die von grundsätzlicher Bedeutung für die Informationssicherheit in Behörden und/oder Unternehmen sind. 10 Bayerischer IT-Sicherheitscluster e.v

11 Unterschiede BSI IT-Grundschutz, ISO/IEC und ISIS12 BSI IT-Grundschutz ISO/IEC ISIS12 ergänzende Risikoanalyse Risikoanalyse fundamental keine direkte Risikoanalyse konkrete Maßnahmen, Umsetzung erforderlich Handlungsempfehlung allgemeine Maßnahmen keine konkrete Handlungsempfehlung konkrete Maßnahmen, Umsetzung erforderlich Handlungsempfehlung hohe Auslastung des ISB hohe Auslastung des ISB geringe Auslastung des ISB Bausteine, Maßnahmen, Gefährdungen Maßnahmenziele Bausteine, Maßnahmen 11 Bayerischer IT-Sicherheitscluster e.v

12 ISIS12 Designkriterien (I) Ein Verfahrensmodell zur Einführung und Verbesserung der Informationssicherheit in mittelständischen Unternehmen. Verständlich beschriebener 12-stufiger Prozess für den Einstieg ins ISMS (light). Integration von ISMS und IT-Service Management (ITSM). Verständliche Anleitung zum Selbermachen - begleitet von ISIS12-Beratern. 12 Bayerischer IT-Sicherheitscluster e.v

13 ISIS12 Designkriterien (II) Spezifisch KMU angepasster ISIS12-Maßnahmenkatalog. 12-stufiger Prozess als Workflow in Software abgebildet. Zertifizierung durch die DQS GmbH möglich. 13 Bayerischer IT-Sicherheitscluster e.v

14 ISIS12 Designkriterien (III) Deutsches Sportabzeichen statt Olympische Medaillen! Der Weg nach Olympia steht den KMU jedoch offen! ISIS12 als mögliche Vorstufe zur ISO/IEC bzw. BSI IT-Grundschutz. 14 Bayerischer IT-Sicherheitscluster e.v

15 ISIS12 - Informationssicherheit in 12 Schritten ISIS12 Vorgehensmodell 15 Bayerischer IT-Sicherheitscluster e.v

16 A: Initialisierungs-Phase Phase 1: Leitlinie erstellen Phase 2: Mitarbeiter sensibilisieren 16 Bayerischer IT-Sicherheitscluster e.v

17 B: Aufbau- und Ablauforganisation Schritt 3: Informationssicherheitsteam aufbauen Schritt 4: IT-Dokumentationsstruktur festlegen Schritt 5: IT-Service Management Prozess einführen 17 Bayerischer IT-Sicherheitscluster e.v

18 C: Entwicklung und Umsetzung des Sicherheitskonzepts Schritt 6: Kritische Applikationen identifizieren Schritt 7: IT-Struktur analysieren Schritt 8: Sicherheitsmaßnahmen modellieren Schritt 9: Ist-Soll vergleichen Schritt 10: Umsetzung planen Schritt 11: Umsetzung Schritt 12: Revision 18 Bayerischer IT-Sicherheitscluster e.v

19 ISIS12 - Informationssicherheit in 12 Schritten ISIS12 Vorgehensmodell 19 Bayerischer IT-Sicherheitscluster e.v

20 ISIS12-Zertifizierung Möglichkeit zur Zertifizierung durch die DQS GmbH Zertifikatsgültigkeit von 3 Jahren (2 Überwachungsaudits) Auditierung durch zertifizierte ISIS12-Auditoren Unterstützung durch ISIS12- Berater (5 Tage) erforderlich Angemessene Zertifizierungskosten 20 Bayerischer IT-Sicherheitscluster e.v

21 ISIS12 Ausblick Weiterentwicklung von ISIS12 Inhaltlich Weiterentwicklung (Vorgehen und Inhalte: Cloud ) Branchenanpassungen (MaRisk, VDA, Behörden ) Weiterentwicklung der ISIS12-Software Einsatz im Behördenbereich 21 Bayerischer IT-Sicherheitscluster e.v

22 Kontakt Bayerischer IT-Sicherheitscluster e.v. Clustermanagerin und Vorstandsvorsitzende: Frau Sandra Wiesbeck 0941/ sandra.wiesbeck@it-sec-cluster.de oder Ansprechpartner für ISIS12 Frau Katrin Neubauer 0941/ katrin.neubauer@it-sec-cluster.de 22 Bayerischer IT-Sicherheitscluster e.v