|
|
| Zeile 1: |
Zeile 1: |
| = Informationssicherheits-Managementsysteme (ISMS) Grundsätzliches =
| |
|
| |
|
| == Definition und Bedeutung ==
| |
| * Ein '''Informationssicherheits-Managementsystem (ISMS)''' ist ein systematischer Ansatz zur Verwaltung und Sicherung sensibler Informationen in einer Organisation.
| |
| * Es basiert auf definierten Sicherheitsrichtlinien, Verfahren und Kontrollmechanismen, um Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sicherzustellen.
| |
| * Die Einführung eines ISMS erfolgt häufig gemäß internationalen Standards wie '''ISO/IEC 27001''', die eine Zertifizierung ermöglichen.
| |
| * Ein effektives ISMS hilft Organisationen, Cyberrisiken zu minimieren, gesetzliche Anforderungen zu erfüllen und Sicherheitsvorfälle strukturiert zu behandeln.
| |
|
| |
|
| == Grundprinzipien eines ISMS == | | =Weiteres= |
| * '''Vertraulichkeit''': Sicherstellen, dass nur autorisierte Personen Zugriff auf bestimmte Informationen haben.
| | *[[Informationssicherheits-Managementsysteme (ISMS) Weiteres]] |
| * '''Integrität''': Schutz der Daten vor unbefugten Änderungen oder Manipulationen.
| |
| * '''Verfügbarkeit''': Sicherstellen, dass Informationen und Systeme jederzeit für berechtigte Nutzer zugänglich sind.
| |
| * '''Risikobasiertes Management''': Identifikation und Bewertung von Bedrohungen und Schwachstellen zur Minimierung von Risiken.
| |
| | |
| == Kernbestandteile eines ISMS ==
| |
| * '''Risikomanagement''': Identifikation, Bewertung und Behandlung von Sicherheitsrisiken.
| |
| * '''Sicherheitsrichtlinien''': Festlegung und Durchsetzung organisatorischer Maßnahmen zum Schutz von Informationen.
| |
| * '''Zugriffskontrollen''': Implementierung von Berechtigungsmechanismen zur Minimierung unautorisierter Zugriffe.
| |
| * '''Schulung und Sensibilisierung''': Regelmäßige Schulungen für Mitarbeiter, um Sicherheitsbewusstsein zu fördern.
| |
| * '''Kontinuierliche Verbesserung''': Regelmäßige Audits und Überprüfungen zur Anpassung an neue Bedrohungslagen.
| |
| * '''Incident Management''': Definition und Umsetzung von Prozessen zur Erkennung, Reaktion und Wiederherstellung nach Sicherheitsvorfällen.
| |
| | |
| == ISMS-Standards und Frameworks ==
| |
| * '''ISO/IEC 27001''': Internationaler Standard für die Implementierung und Zertifizierung eines ISMS.
| |
| * '''NIST Cybersecurity Framework''': Leitlinien für das Risikomanagement in der Cybersicherheit.
| |
| * '''BSI IT-Grundschutz''': Deutsches Sicherheitskonzept für Behörden und Unternehmen zur Umsetzung eines ISMS.
| |
| * '''COBIT (Control Objectives for Information and Related Technologies)''': Framework für die IT-Governance mit Fokus auf Sicherheit und Compliance.
| |
| | |
| == Vorteile eines ISMS ==
| |
| * Reduzierung von Cyberrisiken durch systematische Sicherheitsmaßnahmen.
| |
| * Verbesserung der Compliance mit regulatorischen Anforderungen und Datenschutzgesetzen.
| |
| * Erhöhung des Vertrauens von Kunden und Geschäftspartnern durch zertifizierte Sicherheitsstandards.
| |
| * Schnellere Reaktionsfähigkeit auf Sicherheitsvorfälle durch definierte Prozesse und Verantwortlichkeiten.
| |
| * Bessere Transparenz und Nachverfolgbarkeit von Sicherheitsmaßnahmen innerhalb der Organisation.
| |
| | |
| == Implementierung eines ISMS ==
| |
| * Festlegen von Sicherheitsrichtlinien und Zielen basierend auf den Anforderungen der Organisation.
| |
| * Durchführung einer '''Risikoanalyse''', um Bedrohungen und Schwachstellen zu identifizieren.
| |
| * Einführung technischer und organisatorischer Sicherheitsmaßnahmen.
| |
| * Regelmäßige Überprüfung und Verbesserung des Systems durch Audits und Bewertungen.
| |
| * Sensibilisierung und Schulung der Mitarbeiter zur Einhaltung der Sicherheitsrichtlinien.
| |
| | |
| == Unterstützung durch Tools ==
| |
| * Es gibt verschiedene Softwarelösungen, die Organisationen bei Aufbau und Betrieb eines ISMS unterstützen können, z. B.:
| |
| - Verinice
| |
| - HiScout ISMS
| |
| - SAVe
| |
| - ibi systems iris
| |
| - GS-Tool (BSI, eingestellt aber noch verbreitet)
| |
| - andere kommerzielle GRC-Plattformen (Governance, Risk & Compliance)
| |
| | |
| = ISMS Tools =
| |
| == verinice ==
| |
| * Open-Source-Tool von SerNet für ISMS nach ISO/IEC 27001 und BSI IT-Grundschutz.
| |
| * Community Edition (kostenlos) und Enterprise-Version (kommerziell).
| |
| * Unterstützt Modellierung von Organisationen, Prozessen, IT-Systemen und Bausteinen.
| |
| * Geeignet für Behörden und Unternehmen, auch für ISO-27001-Zertifizierungsvorbereitung.
| |
| | |
| == HiScout ISMS ==
| |
| * Kommerzielle Lösung, in vielen Behörden und Konzernen im Einsatz.
| |
| * Starke Integration in BSI IT-Grundschutz und ISO 27001.
| |
| * Erweiterbar um Module für Datenschutz und Business Continuity Management.
| |
| * Fokus auf automatisiertes Berichtswesen und Audit-Support.
| |
| | |
| == ibi systems iris ==
| |
| * Deutsches GRC-Tool (Governance, Risk, Compliance).
| |
| * Unterstützt Risikomanagement, Informationssicherheit und Datenschutz.
| |
| * Intuitive Weboberfläche, geeignet für mittlere und große Unternehmen.
| |
| * Starker Fokus auf Dashboards und Kennzahlen.
| |
| | |
| == GS-Tool (BSI) ==
| |
| * Älteres Werkzeug des BSI für den IT-Grundschutz (bis 2022 offiziell gepflegt).
| |
| * Kostenlos, wurde lange von Behörden und kleinen Unternehmen genutzt.
| |
| * Eingeschränkte Weiterentwicklung, aber teilweise noch in Altprojekten im Einsatz.
| |
| * Mittlerweile ersetzt durch modernere Tools (z. B. verinice oder HiScout).
| |
| | |
| == Weitere Plattformen ==
| |
| * Markt bietet zahlreiche kommerzielle GRC-Lösungen (z. B. Risk2Value, RSA Archer).
| |
| * Zielgruppe: vor allem Konzerne mit integriertem Managementansatz.
| |
| * Fokus: Risiko- und Compliance-Management, nicht nur ISMS.
| |
| | |
| = Abgrenzung IT-Grundschutz – ISO 27001 – KRITIS-Audit =
| |
| == IT-Grundschutz ==
| |
| * Deutscher Standard des BSI
| |
| * Stellt Bausteine, Maßnahmen und Vorgehensweisen bereit (Kataloge)
| |
| * Ziel: systematische Informationssicherheit in Organisationen
| |
| * Fokus auf Vollständigkeit und Methodik (Schutzbedarf → Bausteine → Maßnahmen)
| |
| * Ergebnis: IT-Sicherheitskonzept mit dokumentierten Anforderungen, Umsetzung, Restrisiken
| |
| | |
| == ISO 27001 ==
| |
| * Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS)
| |
| * Basiert auf der High Level Structure (HLS) der ISO-Normen
| |
| * Enthält Annex A mit 93 Controls (Themenbereiche: Organisation, Technik, Personal, Lieferkette)
| |
| * Zertifizierung weltweit anerkannt
| |
| * BSI bietet Variante „ISO 27001 auf der Basis von IT-Grundschutz“ an
| |
| ** Kombiniert internationale Anerkennung (ISO 27001) mit nationalen Bausteinen (Grundschutz)
| |
| | |
| == KRITIS-Audit ==
| |
| * Spezieller Prüfrahmen nach dem BSI-Gesetz (§8a BSIG)
| |
| * Verpflichtend für Betreiber kritischer Infrastrukturen (z. B. Energie, Wasser, Gesundheit, IT/TK)
| |
| * Ziel: Nachweis angemessener organisatorischer und technischer Maßnahmen zur IT-Sicherheit
| |
| * Audit alle 2 Jahre durch eine unabhängige, vom BSI zugelassene Stelle
| |
| * Grundlage kann sein:
| |
| ** ISO 27001
| |
| ** ISO 27001 auf Basis von IT-Grundschutz
| |
| ** Branchen-Sicherheitskataloge (z. B. Energiewirtschaft)
| |
| * Ergebnis: Prüfbericht + Management Summary → an das BSI
| |
| | |
| == Abgrenzung ==
| |
| * IT-Grundschutz = Werkzeugkasten / Methodik (national)
| |
| * ISO 27001 = formaler Managementsystem-Standard (international)
| |
| * KRITIS-Audit = gesetzlich vorgeschriebene Prüfung für kritische Infrastrukturen
| |
| = Zusammenhang IT-Grundschutz und ISO 27001 =
| |
| | |
| * ISO 27001 ist ein internationaler Managementsystem-Standard (ISMS).
| |
| * IT-Grundschutz ist eine Methodik mit Bausteinen, die vom BSI bereitgestellt wird.
| |
| * Das BSI ermöglicht die Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz:
| |
| ** IT-Grundschutz liefert die Methodik zur Umsetzung der ISO-Anforderungen.
| |
| ** ISO 27001 liefert den formalen Standard für das Zertifikat.
| |
| * Ergebnis: Wer IT-Grundschutz vollständig umsetzt und prüfen lässt, kann ein international anerkanntes ISO 27001-Zertifikat erhalten.
| |
| | |
| = Verinice =
| |
| | |
| = Quasi-Standard (IT-GS, mit BSI-S 200-1, 200-2, 200-3, IT-GS-Kataloge ISO/IEC 27001 und 27701) =
| |
| ==IT-GS==
| |
| ===Übersicht===
| |
| ;BSI-Standard 200-1 Managementsysteme für Informationssicherheit (ISMS): (Management und ISB)
| |
| *Dieser Standard stellt die Grundlage dar und fokussiert sich auf die Anforderungen und die Struktur eines ISMS.
| |
| *Er bietet einen Überblick und Rahmenbedingungen zur Implementierung und Aufrechterhaltung eines ISMS.
| |
| *Dies schliesst die Entwicklung von Sicherheitsrichtlinien und der Organisation der Informationssicherheit ein.
| |
| ;BSI-Standard 200-2 IT-Grundschutz-Methodik: (Für die Admins wichtig)
| |
| *Standard 200-2 geht auf die praktische Anwendung und Implementierung der im ISMS festgelegten Sicherheitsstrategien ein.
| |
| *Er behandelt, wie man die Sicherheitsmaßnahmen durch eine detaillierte Methodik und Modellierung von Geschäftsprozessen.
| |
| *Als auch die effektive Umsetzung von IT-Systemen, um spezifische Sicherheitsanforderungen zu erfüllen.
| |
| ;BSI-Standard 200-3 Risikomanagement: (Management und ISB)
| |
| *Dieser Standard konzentriert sich auf das Risikomanagement innerhalb des ISMS.
| |
| *Er leitet Organisationen an, wie sie Risiken identifizieren, bewerten und behandeln können.
| |
| *Er bietet eine tiefgehende Anleitung zum Aufbau eines Risikomanagementprozesses
| |
| *Die geschieht umeine systematische Handhabung von Sicherheitsrisiken ermöglicht und damit die Grundlage für eine informierte Entscheidungsfindung in der Informationssicherheit schafft.
| |
| | |
| ===Die Standards kurz und knapp===
| |
| *[[BSI-S 200-1]]
| |
| *[[BSI-S 200-2]]
| |
| *[[BSI-S 200-3]]
| |
| ===Sollte noch aufgneommen werden===
| |
| ;Notfallmanagment (Betrifft Zusammnearbeit von ISB und Admins)
| |
| *[[BSI-S 100-4]]
| |
| ==IT-GS Kataloge==
| |
| | |
| ===Übersicht===
| |
| ;ISO/IEC 27001 Informationssicherheits-Managementsysteme (ISMS):
| |
| *ISO/IEC 27001 bietet einen umfassenden Rahmen für die Einrichtung, Implementierung, Überwachung und Verbesserung eines Informationssicherheits-Managementsystems.
| |
| *Die Norm legt allgemeine Anforderungen an das Management der Informationssicherheit fest, einschließlich Risikobewertung und Risikobehandlung, um die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu schützen.
| |
| *Sie ist darauf ausgelegt, Organisationen jeder Größe oder Branche dabei zu helfen, die Sicherheit ihrer Informationen systematisch zu managen.
| |
| ;ISO/IEC 27701 Datenschutz-Managementsysteme (PIMS):
| |
| *ISO/IEC 27701 baut auf ISO/IEC 27001 auf und fügt spezifische Anforderungen und Leitlinien hinzu, um Organisationen dabei zu unterstützen, Datenschutzgesetze und -vorschriften wie die DSGVO zu erfüllen.
| |
| *Diese Norm erweitert die ISMS-Anforderungen von ISO/IEC 27001, indem sie Datenschutzkontrollen und -verfahren einführt, die speziell darauf ausgerichtet sind, die Privatsphäre zu schützen und die Rechenschaftspflicht in Bezug auf personenbezogene Daten zu erhöhen.
| |
| *Sie richtet sich sowohl an Datenverantwortliche als auch an Datenverarbeiter und ist darauf ausgelegt, durch Datenschutzmanagement sowohl rechtliche Compliance als auch Kundevertrauen zu fördern.
| |
| ;Unterschiede und Beziehungen:
| |
| *Während ISO/IEC 27001 ein breites Rahmenwerk für Informationssicherheit bietet, spezialisiert sich ISO/IEC 27701 auf den Datenschutz und ergänzt ISO/IEC 27001 um praxisorientierte Anleitungen zur Erfüllung spezifischer Datenschutzanforderungen.
| |
| *ISO/IEC 27701 kann als eine Erweiterung angesehen werden, die Organisationen ermöglicht, ein integriertes Managementsystem zu schaffen, das sowohl Informationssicherheit als auch Datenschutz adressiert.
| |
| *Die Implementierung von ISO/IEC 27701 setzt voraus, dass eine Organisation bereits ein nach ISO/IEC 27001 zertifiziertes ISMS hat oder gleichzeitig implementiert.
| |
| ===Die Standards kurz und knapp===
| |
| *[[ISO/IEC 27001]] | |
| *[[ISO/IEC 27701]]
| |
| ;Unrelevant da die Kataloge 27001 dies beinhalten ..
| |
| | |
| = Wer/Warum benötigt, Funktionsweise Rahmenbedingungen, Aufbau und entscheidende Faktoren =
| |
| = Informationssicherheits-Managementsysteme (ISMS) =
| |
| | |
| ;Wer/Warum benötigt ISMS:
| |
| * Organisationen jeder Größe und Branche, die die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen sicherstellen wollen.
| |
| * Besonders kritisch für Einrichtungen, die sensible Daten verarbeiten oder gesetzlichen und regulatorischen Anforderungen unterliegen.
| |
| | |
| ;Funktionsweise:
| |
| * ISMS umfasst Richtlinien, Prozesse und Maßnahmen, die darauf abzielen, Risiken für die Informationssicherheit zu identifizieren, zu bewerten und zu mindern.
| |
| * Es berücksichtigt sowohl technische als auch organisatorische Aspekte und bezieht alle Ebenen der Organisation ein.
| |
| | |
| ;Rahmenbedingungen:
| |
| * Die Einrichtung eines ISMS wird durch internationale Standards wie ISO/IEC 27001 und die BSI-Standards 200-Serie geleitet.
| |
| * Diese Standards bieten einen Rahmen für die Implementierung und kontinuierliche Verbesserung des ISMS.
| |
| | |
| ;Aufbau:
| |
| * Festlegung der Sicherheitspolitik und der Ziele der Informationssicherheit.
| |
| * Identifizierung und Bewertung von Informationsrisiken.
| |
| * Entwicklung und Implementierung von Risikomanagementmaßnahmen.
| |
| * Regelmäßige Überprüfung und Anpassung der Sicherheitsmaßnahmen an sich ändernde Bedingungen.
| |
| | |
| ;Entscheidende Faktoren:
| |
| * Engagement der obersten Leitungsebene für die Informationssicherheit.
| |
| * Klare Definition von Rollen, Verantwortlichkeiten und Prozessen innerhalb des ISMS.
| |
| * Bewusstseinsbildung und Schulung der Mitarbeiter in Sicherheitsfragen.
| |
| * Kontinuierliche Überwachung, Überprüfung und Verbesserung des ISMS.
| |
| | |
| ;ISO/IEC 27001 und 27701:
| |
| * ISO/IEC 27001 ist die führende internationale Norm für ISMS, die Anforderungen für die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines ISMS definiert.
| |
| * ISO/IEC 27701 erweitert ISO/IEC 27001 um Anforderungen und Leitlinien zum Datenschutzmanagement, insbesondere im Kontext des Schutzes personenbezogener Daten.
| |
| =Old Stuff=
| |
| *[[Informationssicherheits-Managementsysteme (ISMS) Grundsätzliches]]
| |
| *[[ISMS Tools]]
| |
| *[[Abgrenzung IT-Grundschutz – ISO 27001 – KRITIS-Audit]]
| |
| *[[Verinice]]
| |
| *[[Quasi-Standard (IT-GS, mit BSI-S 200-1, 200-2, 200-3, IT-GS-Kataloge ISO/IEC 27001 und 27701)]]
| |
| *[[Wer/Warum benötigt, Funktionsweise Rahmenbedingungen, Aufbau und entscheidende Faktoren]]
| |