Informationssicherheitsmanagement

Transkript

1 Informationssicherheitsmanagement Informationssicherheitsmanagement in der betrieblichen Praxis Anforderungen nach ISO/IEC 27001:2013 und das Zusammenwirken mit dem Qualitätsmanagement ISO 9001

2 IKS Service GmbH wer wir sind Gegründet: Juni Mitarbeiter Sitz: Intershop-Tower Jena Partnerschaften: Microsoft Cisco NetApp Produkt Markenname:

3 Was wir tun IT-Dienstleister für den Mittelstand Cloud-Anbieter für kundenspezifische Lösungen mit Datenspeicherung im eigenen Rechenzentrum Lösungen auf Mietbasis Backup-Rechenzentrum am Redundanzstandort Internet-Provider Knotenpunkt (AS) im Internet (ISP) Anbindung von Kunden an das Internet über dedizierte Leitungen, Verwaltung der Sicherheitsstrukturen Lösungsanbieter für Unternehmenskommunikation (Exchange, SharePoint, Project)

4 Was ist die Thüringen Cloud? Thüringen Cloud - ein Cloud-Service nicht nur für Thüringen. TÜV-geprüft! Die Thüringen Cloud ist ein Angebot der IKS Service GmbH, um Unternehmen serviceorientiert Cloud- Lösungen zur Verfügung zu stellen. Dabei ist es egal, ob der Kunde eine eigene Cloud-Lösung in unserem Rechenzentrum betreibt oder eine der standardisierten Lösungen der IKS Service GmbH und seiner Partner verwendet. In der Thüringen Cloud wird kein Massenhosting betrieben, die Individualität und Exklusivität jedes Kunden wird dadurch respektiert. Jeder Kunde hat Ansprechpartner, die er kennt. Wir garantieren, dass wir Kundendaten nicht außerhalb Thüringens speichern, es sei denn, der Kunde wünscht dies explizit.

5 Warum QM-System? Zusammenführen verschiedener Strukturen IT kaufmännische Prozesse IT: Windows LINUX- Netzwerkwelten Interner Bedarf an standardisierten Prozessen innerhalb des Wertschöpfungsprozesses zur Verbesserung der Effektivität der Arbeit des Teams zur Verbesserung der Kommunikationsprozesse mit den Kunden Nachvollziehbarkeit/Nachweisbarkeit/Dokumentation der Tätigkeit gegenüber den Kunden Unser Ziel war kein Zertifikat, sondern ein System, das uns, entsprechend unseren Gegebenheiten, hilft, unser Unternehmen weiterzuentwickeln.

6 Anlehnung an ISO 9001 Qualitätsmanagement nach ISO 9001:2008 ist heute anerkannter Maßstab für den Entwicklungsstand eines Unternehmens. Die Prozesse innerhalb und außerhalb eines Unternehmens sind heute maßgeblich von Informationsprozessen geprägt. Diese gilt es zu schützen, wenn man den Entwicklungsstand bewahren und verbessern möchte. Dies gelingt nur mit Prinzipien der Informationssicherheit erst Recht in einem IT-Unternehmen.

7 Schutzziele Informationssicherheit in einem Unternehmen bedeutet, alle relevanten Informationen werden hinsichtlich: ihrer Vertraulichkeit, ihrer notwendigen Verfügbarkeit und ihrer notwendigen Integrität (Unveränderbarkeit) bewertet. Meist geschieht dies intuitiv, manchmal nach eigenen Regeln, Wenige tun es nach Standards. Der Standard für die Informationssicherheit in Managementsystemen ist die Norm ISO/IEC 27001:2013, ein Maß für die Güte der IT-Systeme ist die Zertifizierung MitSec des TÜV Thüringen.

8 Wie haben wir das System eingeführt? August Zertifizierungsaudits nach ISO 27001:2013 und 9001:2008 April Schaffung einer eigenständigen Stelle für IT-Sicherheit und QM 2014 Februar Zielstellung: Zertifizierung nach ISO und 9001 in Kombination Dezember Audit zur MitSec-Zertifizierung September April 2013 Februar Erster gemeinsamer Termin mit TÜV Thüringen Förderantrag beim RKW für Coaching zur Einführung eines QM-Systems Entscheidung zur Einführung eines QM-Systems angelehnt an ISO 9001 MitSec Zertifikat als Maß für die Qualität unseres IT-Systemes Aufbau/Ausbau der eigene IT-Struktur 2012 Firmengründung

9 ISO 27001:2013 ISO/IEC gibt die Anforderung für die Einrichtung, Implementierung, Wartung und laufende Verbesserung eines Informationssicherheitsmanagementsystems (ISMS) vor. Schwerpunkte: Kontext der Organisation Erwartungen der interessierten Parteien Leitlinien und Ziele der Informationssicherheit Führungsaufgabe Risikomanagement und Analyse der Unternehmensprozesse Überwachung aller IT-Prozesse Verbesserung der Unternehmensprozesse

10 Tipps zur Einführung eine IT- Sicherheitsmanagementsystems Prozessorientierter Ansatz erleichtert die Umsetzungen der Anforderungen Ansatz nach ISO 9001 kann übernommen werden, allerdings kommen neue Inhalte und neue Anforderungen dazu QM/IT-Sicherheit ist kein Selbstzweck Die bestehende Arbeitsweise (das Leben) muss abgebildet werden. Das Managementsystem kann nicht neben dem Leben stehen. Informationssicherheit ist kein IT-Problem Die IT-Abteilung/Technik kann nur bei der Umsetzung helfen, die Ziele, die Risikobewertungen, das Verständnis der Bedürfnisse und Erwartungen interessierter Parteien kann nur aus der Unternehmensleitung kommen

11 Probleme Die ISO liefert keine fertigen Handlungsanweisungen, die muss jedes Unternehmen für sich selbst entwickeln (und leben!) BSI Grundschutz ist auf den deutschen Markt ausgerichtet, in anderen Ländern ist ein Vorgehen danach teilweise nicht anerkannt. ISO ist eine Kundenforderung ohne das Kunden wissen, was das eigentlich bedeutet (Standardfrage: Ist Ihr Rechenzentrum ISO zertifiziert?) Es gibt andere Anforderungen (Herstellerzertifizierungen, Compliance-Anforderungen) die andere Schwerpunkte setzen als die Anforderungen irgendwelcher Normen

12 Cloud Service heute (nach PRISM) Das wichtigste Kriterium: Vertrauen

13 Vorteile Lösung wird als Dienst vermietet Keine Anschaffungskosten für Hardware keine Abschreibungen, Kein Kauf von Software Pay per use d.h. Schwankungen in der Nutzung führen nicht zum Kauf von ungenutzter Software Keine Lizenzkontrolle durch den Hersteller (Microsoft) Kein eigener Personalaufwand für den Betrieb der Lösung Formulierte Service Level Agreements (SLAs) Dienstleisterhaftung im Schadensfall Sie wissen, wo Ihre Daten liegen Backup der Systeme / Daten in ein zweites Rechenzentrum Erprobte Sicherheitsverfahren IT ist unser Hauptgeschäft! Kein Massenhosting wir hosten nur Lösungen für Unternehmen

14 zu beachten Internetabhängig wichtig ist die wirklich verfügbare Bandbreite Im Internet gibt es Ausfälle, garantieren kann man keine Verfügbarkeit des Systems von außen Beim Cloud Computing muss man seinem Dienstleister vertrauen wenn man das nicht will oder kann ist das Geschäftsmodell ungeeignet Basis ist ein von beiden Seiten akzeptierter Vertrag, der Inhalte (und Ausschlüsse!) eindeutig regelt, SLAs definiert und die Anforderungen des Datenschutzrechtes ( 5 BDSG - Datengeheimnis, 11 Auftragsdatenverarbeitung) beinhaltet

15 Fragen zur Diskussion Warum brauche ich Informationssicherheitsmanagement in meinem Unternehmen? Ist das nicht nur für die IT interessant (verantwortl.)? Ist das nicht ein Overkill für kleine Unternehmen? Das kostet Geld? Wir gehen sorgsam mit unseren Daten um, brauchen wir so etwas? Es gibt doch Versicherungen dafür? Was bringt mir eine Zertifizierung?