IT Security Mai 2021

IT SECURITY | 15
ISMS auf der Prozessebene an, um sein
Ziel der Informationssicherheit im gesamten
Unternehmen zu erreichen. Natürlich
werden eingesetzte Technologien, Zugriffsrechte
und Datenströme betrachtet –
allerdings sind nicht alle schützenswerten
IT-Informationen eines Unternehmens digitalisiert
worden. Dennoch: Zugangsdaten
von Mitarbeitern, Zahlen aus Unterneh-
mensvorgängen oder schlicht die techni-
sche Dokumentation eines Unternehmens
enthalten allesamt lesamt Informationen, die es
im Rahmen der Planung und Einführung
eines ISMS zu berücksichtigen gilt. Ent
-
sprechend mahnt auch das Bundesamt für
Sicherheit in der Informationstechnik (BSI),
wie wichtig Informationssicherheit ist und
aktualisiert regelmäßig die eigenen Empfehlungen
und Richtlinien, wie die Maßnahmen
für den IT-Grundschutz nach der
BSI-Standard-Reihe 200x.
Ulrich Parthier: Welche Risiken können
abgesichert werden?
Alexander Häußler: Welche Informationen
wie geschützt werden müssen, bedarf
einer Einschätzung vor der Einführung
eines ISMS. Diese Einschätzung
wiederum basiert auf der Art der Infor-
mation und dem möglichen Schaden,
sollte sie abhandenkommen – auch gän-
gige Compliance-Regelungen spielen
bei der Bewertung eine Rolle. Gleichzeitig
gilt es, neben dem Schutz auch die
Verfügbarkeit und Integrität der jeweiligen
Informationen zu gewährleisten. Die
Ergebnisse und die resultierenden Maßnahmen
gilt es wiederum zu prüfen –
schließlich müssen diese Maßnahmen
den gewünschten Schutz garantieren.
Dieser Vorgang wird wiederholt, bis der
Prozess optimiert ist – wie früher im Rahmen
einer Qualitätssicherung.
Ulrich Parthier: Wie kann das im
Unternehmen konkret umgesetzt wer-
den?
Alexander Häußler: Verantwortet wird
das ISMS im Betrieb in der Regel von
einem dedizierten Informationssicher
r-
heitsbeauftragten. Dieser muss fortan in
die strategischen Entscheidungen der (IT-)
Abteilungen eingebunden werden und
dient als Ansprechpartner in Sachen der
Datensicherheit, sowohl intern als auch
für extern, etwa für Kunden oder Prüfer.
Ihm obliegt es nicht nur, darauf zu achten,
dass die Prozesse und Maßnahmen
gemäß den Regelungen und Policies des
ISMS eingehalten werden, sondern er ist
darüber hinaus verantwortlich, das ISMS
selbst im Auge zu behalten. Schließlich
verändern sich die Anforderungen nicht
nur im Zuge einer Integration neuer Systeme
oder zusätzlicher technologischer
Lösungen durch das Unternehmen, wie
die erhöhte Einbindung von Cloud-Lösun-
gen und -Strategien, sondern zusätzlich
durch äußerliche Umstände, wie gesetzliche
Rahmenbedingungen.
gen führt, ist die Zertifizierung der Si-
cherheit dieser Produkte ab Werk. Sie
belegt auch die Gewissenhaftigkeit, mit
der ein Unternehmen arbeitet.
Ebenso verhält es sich bezüglich der Sicherheit
und Absicherung von Informationen.
Besonders Zulieferer werden von
Konzernen oftmals aufgefordert, die eigenen
Prozesse von unabhängigen Experten
prüfen, gegebenenfalls verbessern
und anschließend zertifizieren zu
lassen. Die Zertifikate dienen hier als
Versprechen, das ein bestimmter Standard
oder eine bestimmte te Normierung
gewährleistet wird. Diese unterstreichen
die Qualität der eigenen Arbeit, auf wel-
che sich Kunden und Partner verlassen
möchten. Es hat sich im Grunde nichts
verändert: Früher gab ein Unternehmen
das Qualitätsversprechen, dass seine
Produkte nach anerkannten Normen produziert
werden und nun ist es zusätzlich
essenziell geworden, in digitaler Form
die Sicherheit von Informationen zu ver-
sprechen, die im eigenen Unternehmen
gespeichert und ausgewertet werden.
Außerdem mindert eine Zertifizierung
durch unabhängige Prüfstellen das Risiko
einer Schadenshaftung, denn wer nachweisen
kann, sich an gängige Normen
gehalten zu haben, hat ein solides Fundament
in einem Rechtsstreit. Auf solch
einem Fundament aufgebaut gerät zugleich
das Vertrauen von Kunden und
Partnern in ein Unternehmen nicht ins
Wanken – was zu den wertvollsten Ver-
mögenswerten jeder Firma gehört.
Ulrich Parthier: Herr Häußler, wir danken
für das Gespräch.
DIE WICHTIGSTE BINDUNG,
DIE EIN UNTERNEHMEN ODER
EINE MARKE ZUR KUNDSCHAFT
UND DEN PARTNERN AUFBAU-
EN KANN, IST VERTRAUEN.
Alexander Häußler, Product Compliance
Manager ISO/IEC 27001,
TÜV SÜD Management Service,
www.tuvsud.com
Ulrich Parthier: Welche Vorteile bietet
eine Zertifizierung?
Alexander Häußler: Die wichtigste Bindung,
die ein Unternehmen oder eine
Marke zur Kundschaft und den Partnern
aufbauen kann, ist Vertrauen. Ein Weg,
der zu gesteigertem Vertrauen der Kun
-
den in die Produkte oder Dienstleistun
-
www.it-daily.net