Was ist ein Informationssicherheits-Managementsystem?

Es ist die Gesamtheit aus Richtlinien, Rollen, Prozessen und Aufzeichnungen, mit der eine Organisation Informationssicherheit planvoll statt zufällig steuert. Ein Informationssicherheits-Managementsystem (ISMS) beantwortet laufend einige Fragen: Welche Informationen und Systeme sind wichtig, welche Risiken bedrohen sie, welche Maßnahmen treffen wir, wer ist verantwortlich, woran erkennen wir, dass die Maßnahmen wirken, und wie verbessern wir uns, wenn nicht? Konkret besteht es aus Dokumenten wie einer Sicherheitsleitlinie, einer Risikobewertung und einem Risikobehandlungsplan, einer Erklärung, welche Maßnahmen angewendet werden, Verfahren für Vorfälle und Lieferanten, sowie aus Nachweisen, dass sie gelebt werden: Schulungsnachweise, Berechtigungsprüfungen, Auditergebnisse und Protokolle der Managementbewertung. System heißt es, weil es in einem Kreislauf aus Planen, Umsetzen, Prüfen und Handeln läuft. ISO/IEC 27001 legt die Anforderungen fest, aber auch Unternehmen ohne Zertifizierungsziel profitieren von der Struktur, und die NIS2NIS2: zweite EU-Richtlinie zur Netz- und Informationssicherheit. Das EU-Cybersicherheitsrecht (Richtlinie (EU) 2022/2555) mit Sicherheits- und Meldepflichten für viele Unternehmen.-Pflichten zum Risikomanagement passen gut hinein. Ein Überwachungswerkzeug ist eine Maßnahme innerhalb des Systems und eine Quelle von Nachweisen, nicht das System selbst.

← Alle 15 Fragen zu Sicherheitsstandards: ISO 27001, SOC 2Alle Themen