Heute ist die Frage der Informationssicherheit (nachfolgend – IS) für Unternehmen eines der relevantesten Themen weltweit. Und das ist nicht verwunderlich, denn in vielen Ländern verschärfen sich die Anforderungen an Organisationen, die personenbezogene Daten speichern und verarbeiten. Derzeit verlangt die russische Gesetzgebung, dass ein erheblicher Teil des Dokumentenverkehrs in Papierform aufbewahrt wird. Gleichzeitig gibt es einen spürbaren Trend zur Digitalisierung: Viele Unternehmen speichern bereits eine große Menge an vertraulichen Informationen sowohl im digitalen Format als auch in Form von Papierdokumenten.
Laut dem Analysezentrum Anti-Malware haben 86 % der Befragten angegeben, dass sie im Laufe des Jahres mindestens einmal Vorfälle nach Cyberangriffen oder aufgrund von Verstößen gegen festgelegte Vorschriften regulieren mussten. Daher ist die erhöhte Aufmerksamkeit der Unternehmen auf Informationssicherheit zu einer Notwendigkeit geworden.
Derzeit ist die Unternehmensinformationssicherheit nicht nur ein Komplex technischer Mittel wie Antivirenprogramme oder Firewalls, sondern ein umfassender Ansatz im Umgang mit den Vermögenswerten des Unternehmens insgesamt und insbesondere mit Informationen. Unternehmen gehen die Lösung dieser Probleme unterschiedlich an. Heute möchten wir über die Einführung des internationalen Standards ISO 27001 als Lösung für ein solches Problem sprechen. Für Unternehmen auf dem russischen Markt erleichtert das Vorhandensein eines solchen Zertifikats die Interaktion mit ausländischen Kunden und Partnern, die hohe Anforderungen in diesem Bereich haben. ISO 27001 wird im Westen weit verbreitet angewendet und umfasst die Anforderungen im Bereich IS, die durch die eingesetzten technischen Lösungen abgedeckt sein sollten, und trägt auch zur Gestaltung von Geschäftsprozessen bei. Somit kann dieser Standard zu Ihrem Wettbewerbsvorteil und zu einem Berührungspunkt mit ausländischen Unternehmen werden.
Diese Zertifizierung des Informationssicherheits-Managementsystems (ISMS) vereint die besten Praktiken für das Design von ISMS und hat, was nicht zu vernachlässigen ist, die Möglichkeit vorgesehen, Steuerungsinstrumente zur Gewährleistung des Systems auszuwählen, Anforderungen an die technologische Sicherheit und sogar an den Personalmanagementprozess im Unternehmen zu stellen. Man muss verstehen, dass technische Ausfälle nur einen Teil des Problems darstellen. Im Bereich der Informationssicherheit spielt der menschliche Faktor eine riesige Rolle, dessen Ausschluss oder Minimierung erheblich komplizierter ist.
Wenn Ihr Unternehmen beabsichtigt, die Zertifizierung nach dem Standard ISO 27001 zu durchlaufen, haben Sie wahrscheinlich bereits versucht, einen einfachen Weg zu finden, um dies zu erreichen. Wir müssen Sie enttäuschen: Es gibt keinen einfachen Weg. Es gibt jedoch bestimmte Schritte, die helfen werden, die Organisation auf die internationalen Anforderungen an die Informationssicherheit vorzubereiten:
1. Holen Sie sich Unterstützung von der Führungsebene
Sie könnten dies für offensichtlich halten, doch in der Praxis wird dieser Punkt oft übersehen. Darüber hinaus ist dies einer der Hauptgründe, warum Projekte zur Implementierung von ISO 27001 häufig scheitern. Ohne das Verständnis für die Bedeutung des Implementierungsprojekts wird die Führung weder genügend personelle Ressourcen noch ein ausreichendes Budget für die Zertifizierung bereitstellen.
2. Entwickeln Sie einen Zertifizierungsvorbereitungsplan
Die Vorbereitung zur Zertifizierung nach ISO 27001 ist eine komplexe Aufgabe, die verschiedene Arten von Arbeiten umfasst, die eine große Anzahl von Menschen einbeziehen und Monate (oder sogar Jahre) in Anspruch nehmen kann. Daher ist es sehr wichtig, einen detaillierten Projektplan zu erstellen: Ressourcen, Zeit und die Einbindung von Menschen auf genau definierte Aufgaben zu verteilen und die Einhaltung von Fristen zu überwachen – andernfalls werden Sie möglicherweise nie fertig.
3. Bestimmen Sie den Zertifizierungsumfang
Wenn Sie ein großes Unternehmen mit diversifizierten Aktivitäten haben, könnte es sinnvoll sein, nur einen Teil des Unternehmens nach ISO 27001 zu zertifizieren, was die Risiken Ihres Projekts sowie dessen Dauer und Kosten erheblich senken kann.
4. Entwickeln Sie eine Informationssicherheitspolitik
Eines der wichtigsten Dokumente ist die Informationssicherheitspolitik des Unternehmens. In ihr sollten die Ziele Ihres Unternehmens im Bereich der Informationssicherheit und die grundlegenden Prinzipien des Informationssicherheitsmanagements festgehalten werden, die von allen Mitarbeitern beachtet werden müssen. Die Aufgabe dieses Dokuments besteht darin, zu definieren, was die Unternehmensführung im Bereich der Informationssicherheit erreichen möchte und wie dies umgesetzt und kontrolliert wird.
5. Bestimmen Sie die Methodologie zur Risikobewertung
Eine der schwierigsten Aufgaben ist die Festlegung der Regeln zur Risikobewertung und -verwaltung. Es ist wichtig zu verstehen, welche Risiken das Unternehmen als akzeptabel erachtet und welche unverzüglich reduziert werden müssen. Ohne diese Regeln wird das ISMS nicht funktionieren.
Dabei sollte man die Angemessenheit der entwickelten Maßnahmen, die zur Risikominderung ergriffen werden, im Auge behalten. Man sollte sich jedoch nicht zu sehr in den Optimierungsprozess vertiefen, da diese auch erhebliche zeitliche oder finanzielle Kosten verursachen oder einfach nicht umsetzbar sein könnten. Es wird empfohlen, bei der Entwicklung von Maßnahmen zur Risikominderung das Prinzip der "minimalen Angemessenheit" zu beachten.
6. Verwalten Sie die Risiken gemäß der genehmigten Methodologie
Der nächste Schritt besteht darin, die Methodologie des Risikomanagements konsequent anzuwenden, d. h. sie zu bewerten und zu bearbeiten. Dieser Prozess sollte regelmäßig und mit großer Sorgfalt durchgeführt werden. Durch die Aktualisierung des Risikoregisters für Informationssicherheit können Sie die Ressourcen des Unternehmens effektiv verteilen und schwerwiegende Vorfälle verhindern.
7. Planen Sie die Risikobearbeitung
Risiken, die das für Ihr Unternehmen akzeptable Niveau überschreiten, müssen unbedingt in den Risikobehandlungsplan aufgenommen werden. In diesem sollten die Maßnahmen zur Risikominderung sowie die verantwortlichen Personen und Fristen festgehalten werden.
8. Füllen Sie die Erklärung zur Anwendbarkeit aus
Dies ist das Schlüssel dokument, das von den Fachleuten der Zertifizierungsstelle während des Audits überprüft wird. Es sollte beschrieben werden, welche Kontrollmechanismen im Bereich Informationssicherheit auf die Aktivitäten Ihres Unternehmens anwendbar sind.
9. Bestimmen Sie, wie die Effektivität der Informationssicherheitsmanagementmittel gemessen wird
Jede Maßnahme muss ein Ergebnis haben, das zur Erreichung der festgelegten Ziele führt. Daher ist es wichtig, klar zu definieren, nach welchen Kriterien der Erfolg der Ziele sowohl für das gesamte Managementsystem für Informationssicherheit als auch für jeden ausgewählten Kontrollmechanismus aus dem Anhang zur Anwendbarkeit gemessen wird.
10. Implementieren Sie Informationssicherheitsmaßnahmen
Und erst nach der Umsetzung aller vorhergehenden Schritte sollten die entsprechenden Informationssicherheitsmaßnahmen aus dem Anhang zur Anwendbarkeit implementiert werden. Die größte Herausforderung besteht sicherlich darin, eine völlig neue Handlungsweise in vielen Prozessen Ihrer Organisation zu implementieren. Menschen wehren sich normalerweise gegen neue Richtlinien und Verfahren, daher sollten Sie auf den nächsten Punkt achten.
11. Implementieren Sie Schulungsprogramme für Mitarbeiter
Alle oben beschriebenen Punkte sind sinnlos, wenn Ihre Mitarbeiter die Wichtigkeit des Projekts nicht verstehen und nicht gemäß den Richtlinien zur Informationssicherheit handeln. Wenn Sie möchten, dass Ihr Personal alle neuen Regeln einhält, müssen Sie zunächst den Menschen erklären, warum diese notwendig sind, und dann Schulungen zur Informationssicherheitsmanagementsystem (ISMS) anbieten, bei denen alle wichtigen Richtlinien erläutert werden, die die Mitarbeiter in ihrer täglichen Arbeit berücksichtigen müssen. Fehlende Schulungen sind eine häufige Ursache für das Scheitern von Projekten nach ISO 27001.
12. Unterstützen Sie die ISMS-Prozesse
In diesem Stadium wird die ISO 27001 zur täglichen Routine in Ihrer Organisation. Um die Implementierung der Informationssicherheitsmaßnahmen gemäß dem Standard zu bestätigen, müssen den Auditoren Aufzeichnungen vorgelegt werden – Beweise für die tatsächliche Funktion von Kontrollmechanismen. Vor allem müssen die Aufzeichnungen Ihnen helfen, zu überwachen, ob Ihre Mitarbeiter (und Dienstleister) ihre Aufgaben gemäß den festgelegten Regeln erfüllen.
13. Überwachen Sie das ISMS
Was passiert mit Ihrem ISMS? Wie viele Vorfälle haben Sie, welcher Art sind sie? Werden alle Verfahren ordnungsgemäß durchgeführt? Mit diesen Fragen sollten Sie überprüfen, ob das Unternehmen die Ziele im Bereich der Informationssicherheit erreicht. Wenn nicht, sollten Sie einen Plan zur Behebung der Situation entwickeln.
14. Führen Sie interne Audits des ISMS durch
Das Ziel des internen Audits besteht darin, Diskrepanzen zwischen den tatsächlichen Prozessen im Unternehmen und den genehmigten Richtlinien im Bereich der Informationssicherheit (IB) zu identifizieren. In erster Linie handelt es sich um die Überprüfung, inwieweit Ihre Mitarbeiter die Vorschriften einhalten. Dies ist ein sehr wichtiger Punkt, denn wenn Sie die Arbeit Ihres Personals nicht überwachen, kann der Organisation Schaden (absichtlich oder unbeabsichtigt) zugefügt werden. Die Aufgabe besteht jedoch nicht darin, Schuldige zu finden und disziplinarische Maßnahmen aufgrund von Verstößen gegen die Richtlinien zu verhängen, sondern darin, die Situation zu korrigieren und zukünftige Probleme zu verhindern.
15. Organisieren Sie eine Analyse aus einer Leitungsposition heraus
Die Leitung sollte Ihre Firewall nicht konfigurieren, aber sie sollte wissen, was im Managementsystem für Informationssicherheit (SUIB) passiert: beispielsweise, ob alle ihre Aufgaben erfüllen und ob das SUIB die Zielvorgaben erreicht. Auf dieser Grundlage sollte die Unternehmensleitung Schlüsselentscheidungen zur Verbesserung des SUIB und der internen Geschäftsprozesse treffen.
16. Implementieren Sie ein System für Korrektur- und Präventionsmaßnahmen
Wie jeder Standard ISO 27001 „kontinuierliche Verbesserung“ erfordert: systematische Korrektur und Verhinderung von Abweichungen im Informationssicherheitsmanagementsystem. Durch Korrektur- und Präventionsmaßnahmen können Abweichungen behoben und deren erneutes Auftreten in der Zukunft verhindert werden.
Zusammenfassend lässt sich sagen, dass die Zertifizierung in der Tat viel schwieriger ist, als sie in verschiedenen Quellen beschrieben wird. Der Beweis dafür ist die Tatsache, dass in Russland bis heute nur die Zertifizierung für die Konformität durchlaufen haben. Im Ausland hingegen ist dies einer der beliebtesten Standards, der den wachsenden Anforderungen der Unternehmen im Bereich der Informationssicherheit gerecht wird. Diese hohe Nachfrage nach Implementierung ist nicht nur auf das Wachstum und die Komplexität der Bedrohungen zurückzuführen, sondern auch auf gesetzliche Anforderungen sowie die der Kunden, die die vollständige Vertraulichkeit ihrer Daten erhalten müssen.
Trotz der Tatsache, dass die Zertifizierung des SUIB eine anspruchsvolle Aufgabe ist, kann die Erfüllung der Anforderungen des internationalen Standards ISO/IEC 27001 erhebliche Wettbewerbs Vorteile auf dem globalen Markt bieten. Wir hoffen, dass unser Artikel ein erstes Verständnis der wesentlichen Schritte zur Vorbereitung des Unternehmens auf die Zertifizierung vermittelt hat.
Quelle: habr.com
