Dieter Brunner ISO in der betrieblichen Praxis

Transkript

1 Seite 1 von 6

2 IT-Sicherheit: die traditionellen Sichtweise Traditionell wird Computer-Sicherheit als technisches Problem gesehen Technik kann Sicherheitsprobleme lösen Datenverschlüsselung, Firewalls, IDS/IPS, VPNs, PKI, Biometrie,... Mit Technik können Bedrohungen eliminiert werden Der Glaube ist, dass uns Technik Sicherheit verschafft und dass mehr Technik mehr Sicherheit bietet IT-Sicherheit: Irrweg der traditionellen Sichtweise Die Bedrohungen wurden nicht eliminiert Die Bedrohung der Computer und Netzwerke wächst Die Abwehrmaßnahmen werden immer besser,... aber auch die Angriffstechniken Die Risiken nehmen immer stärker zu Die Zahl der Benutzer Mobiler Devices steigt Die Zahl kritischer Internet-Anwendungen steigt Seite 2 von 6

3 Dieter Brunner Quelle: BSI; Die Lage der IT-Sicherheit in Deutschland 2009 Seite 3 von 6

4 Der Umsetzungsgrad der gesetzlichen Rahmenbedingungen scheint, abgesehen vom Datenschutz, noch unterdurchschnittlich zu sein. Das lässt die Vermutung zu, dass das Thema Compliance ebenfalls weitgehend als Aufwand und nicht als Chance gesehen wird, IT-Service-Prozesse zu optimieren, um dies als Wettbewerbsvorteil zu nutzen. Quelle: KES06, Umseztzungsgrad gesetzlicher Rahmenwerke Seite 4 von 6

5 Wo findet man Hilfe bei der Umsetzung ISO/IEC Information technology Information security management systems Requirements [ Informationssicherheitshandbuch der A-SIT [ IT-Grundschutzhandbuch des BSI [ Seite 5 von 6

6 ITIL bzw. ISO 20000, und 9001 haben vergleichbare Grundanforderungen und ermöglichen daher die Nutzung eines integrierten Managementsystems. Mögliche Ausgangsszenarien: Es existiert noch kein Managementsystem im Unternehmen. Für den Aufbau eines integrierten Managementsystems sollte das QM-System nach ISO 9001 als Ausgangpunkt gewählt werden, da die anderen Standards den Aufbau von vergleichbaren Managementprozessen voraussetzen: - Dokumentenlenkung zur Erstellung, Freigabe, Aktualisierung und Vernichtung von Dokumenten. - Korrektur- und Vorbeugemaßnahmen zur stetigen Optimierung der Produkt-/Prozessqualität. - Audits zur Beurteilung der Aktualität und Wirksamkeit der Prozesse und Richtlinien. - Managementreviews dienen zur Prüfung der Eignung und Effektivität des Managementsystems durch das Management und zur Genehmigung von Korrektur- und Vorbeugemaßnahmen. Es existiert bereits ein Managementsystem im Unternehmen. Unternehmen die bereits über ein QM-System nach ISO 9001 verfügen, benötigen für ein ISMS deutlich weniger Ressourcen und Zeit, da die eingeführten Prozesse zur Dokumentenlenkung, für Korrektur- und Vorbeugemaßnahmen und Audits mit Management-Reviews genutzt werden können (d.h. fehlt ISO Anhang A und möglicherweise eine Erweiterung des Risikomanagements). Als logisch nächster Schritt sollte ISO integriert werden, da die anderen Standards ebenfalls den Aufbau der benötigten IT-Prozesse nach der in ITIL vorgeschlagenen Struktur fordern. Die Managementsysteme für Qualität und Sicherheit existieren bereits, wurden aber getrennt aufgebaut und betrieben. Richtlinien zum Umgang mit der IT existieren in jedem Unternehmen und werden von verschiedenen Stellen (Entwicklung, Produktion, Sicherheit, Personal oder Management) mit unterschiedlichen Zielsetzungen herausgegeben. Aus Sicht der Mitarbeiter verursacht das getrennte Bereitstellen von Qualitäts- und Sicherheitsvorgaben allerdings zusätzlichen Zeitaufwand beim Lesen und Vergleichen der einzelnen Vorgaben, da nicht der Ursprung von Interesse ist, sondern nur welche Richtlinien gemäß der jeweiligen Rolle (Anwender, Projekt- bzw. Systemverantwortlicher oder Führungskraft) relevant sind. Das Ziel sollte daher sein, eine Gesamtsicht auf alle für den jeweiligen Mitarbeiter relevanten Richtlinien bereitzustellen und Such- bzw. Filter-Möglichkeiten anzubieten, um Sichten nach Standards (Qualität, Sicherheit oder ITSM) für Auditoren oder Themengebieten (Zutritt, Passwortgebrauch, Internetnutzung) für Anwender bereitstellen zu können. Um auch wiederkehrende Fragen der Mitarbeiter effizient abhandeln zu können, ohne den redaktionellen Aufwand wesentlich zu erhöhen, bietet sich der Einsatz eines moderierten WIKI an. Seite 6 von 6