Informationssicherheit erfolgreich steuern
Die Vorteile auf einen Blick
ISMS als Schlüssel zur NIS-2 Konformität
Warum ein ISMS wichtig ist
Daten werden heutzutage in jeder Organisation elektronisch verarbeitet. Insbesondere sensible Informationen müssen vor Missbrauch, Verlust, Preisgabe, Zerstörung und Manipulation geschützt werden. Neben personenbezogenen Daten gehören hierzu auch Geschäfts- und Betriebsgeheimnisse. Dabei sind gesetzliche Vorgaben – wie zum Beispiel durch NIS-2 gefordert – oder Compliance-Vorgaben, zu beachten.
Auch Mitarbeiter*innen, Bürger*innen, Kunden, Partner, Lieferanten sowie staatliche Organe fordern optimale Informationssicherheit und eine Risikobehandlung durch Sicherheitskonzepte. Darum wird ein verlässliches und dauerhaft funktionsfähiges ISMS zunehmend zu einem wichtigen Erfolgsfaktor.
ISMS nach ISO/IEC 27001
Internationaler Standard
Um Maßnahmen zur Informationssicherheit zu initiieren, zu überprüfen und vor allem zu verbessern, hat sich der Aufbau eines ISMS auf der Grundlage des internationalen Standards ISO/IEC 27001 bewährt. Die Norm definiert, wie die Informationssicherheit in Organisationen gewährleistet werden kann. Ein entsprechendes Managementsystem kann zusammen mit bereits vorhandenen Managementsystemen, z. B. nach ISO 14001, ISO 9001 oder ISO/IEC 20000, betrieben werden.
Für uns ist es unerheblich, ob sich Ihr Unternehmen oder Ihre Organisation "nur" am Standard ISO/IEC 27001 orientieren möchte oder ob Sie eine Unternehmenszertifizierung und somit eine strikte Anwendung des Standards anstreben: Wir bieten Ihnen auf Ihre Belange zugeschnittene Lösungen, die Ihnen eine Grundlage für den aktiven Umgang mit Risiken im Bereich der Informationssicherheit schaffen.
Wir unterstützen Sie bei der Einführung, dem Betrieb und der Weiterentwicklung eines ISMS. Unser bewährtes Vorgehensmodell basiert auf zahlreichen erfolgreichen Projekten und unseren Best Practices.
Unsere Leistungen umfassen u. a.:
- Konzeption, Implementierung und Optimierung von ISMS – mit und ohne Zertifizierung
- Prüfung bestehender Systeme auf Zertifizierungsreife
- Durchführung von Audits nach ISO/IEC 27001 und nach IT-Grundschutz oder kombiniert
- Unterstützung bei Zertifizierungsverfahren
Mit unserem Informationssicherheitscheck nach ISO/IEC 27001:2022 bieten wir Kunden, die eine Unternehmenszertifizierung nach diesem Standard anstreben oder bereits darüber verfügen, sowohl eine Bewertung ihres ISMS als auch die Überprüfung der Umsetzung der Maßnahmenziele und Maßnahmen aus dem Annex A an. Dabei gehen wir so modular vor, dass wir Ihnen beide Teile des Informationssicherheitschecks unabhängig voneinander und bei Bedarf auch einzeln anbieten können.
Die Auswertung erfolgt in Form eines Berichts unter Verwendung von Grafiken und enthält Maßnahmenvorschläge zur Verbesserung Ihres Sicherheitsniveaus.
Um neben organisatorischen Verbesserungspotenzialen auch technische Schwachstellen aufzudecken, kann unsere Basisanalyse Informationssicherheit mit einer technischen Sicherheitsanalyse (Penetrationstest) verbunden werden.
ISMS nach IT-Grundschutz
Methodik des BSI
Als ganzheitlichen Ansatz zur Informationssicherheit hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) den IT-Grundschutz entwickelt.
Der IT-Grundschutz ermöglicht es, durch systematisches Vorgehen notwendige Sicherheitsmaßnahmen zu identifizieren und umzusetzen. Dabei bleibt er aufgrund seines Baukastensystems flexibel und ist an jede Organisation individuell anpassbar.
Der IT-Grundschutz des BSI ist kompatibel zur Norm ISO/IEC 27001 und genießt daher auch international Ansehen.
Wir unterstützen Sie in jeder Phase des Aufbaus eines ISMS nach IT-Grundschutz, beispielsweise bei:
- Auswahl und Abgrenzung des IT-Verbundes
- Feststellung des Schutzbedarfes
- Grundschutzchecks
- Risikoanalyse
- Maßnahmendefinition
- Umsetzung
Ihre individuellen Sicherheitsziele stehen dabei im Fokus. Uns ist wichtig, den Bedarf Ihrer Organisation spezifisch festzulegen, um eine optimale und kosteneffiziente Lösung durch das Sicherheitskonzept zu erreichen.
Wer die Aufgabe hat, die Informationssicherheit der eigenen Institution voranzutreiben, steht oft vor der Herausforderung des ersten Schritts. Deswegen hat secunet auf Basis der IS-Kurzrevision des BSI einen Sicherheitscheck entwickelt. Dieser ermöglicht Ihnen den ersten, mühelosen Schritt, einen umfassenden Überblick über den aktuellen Status der Informationssicherheit zu gewinnen, und unterstützt Sie beim weiteren Vorgehen.
Viele Ministerien und nachgeordnete Behörden sind so bereits mit uns zusammen in das Thema ISMS eingestiegen.
Die standardisierte Methodik orientiert sich an einem einheitlichen Fragenkatalog basierend auf Anforderungen des IT-Grundschutzes. In Form von Interviews und Begehungen der Liegenschaften wird der Stand der Informationssicherheit in zwei Tagen geprüft. Prüfthemen lassen sich dabei mit Blick auf Ihre spezifischen Erfordernisse erweitern, anpassen oder vertiefen.
Sicherheitskonzepte sind eine wesentliche Grundlage, um Sicherheitsanforderungen an Systeme oder Prozesse zu definieren, priorisieren und umzusetzen. Somit sind sie ein entscheidender Teil eines Informationssicherheitssystems. Dabei werden nicht nur IT-basierte Werte betrachtet: Ein Sicherheitskonzept setzt für eine Umgebung Sicherheitsziele fest, die sich aus den Risiken und dem Schutzbedarf der Informationen ableiten. Anschließend entwickeln wir entsprechende Maßnahmen, um diese Ziele zu erreichen. Dabei kann ein Sicherheitskonzept auch nur Teilbereiche der IT-Infrastruktur umfassen.
Wir unterstützen Sie sowohl bei der Erstellung generalisierter Sicherheitskonzepte für Ihre gesamte IT-Landschaft als auch bei der Erarbeitung von system- oder applikationsspezifischen Detailkonzepten. Basis ist dabei die IT-Grundschutz-Methodik des BSI.
Ein ISMS kann nur dann funktionieren, wenn Mitarbeitende entsprechend geschult bzw. für das Thema Informationssicherheit sensibilisiert sind. Dafür führen wir auch Schulungen und Veranstaltungen wie unser Security Awareness Training für Ihre ausgewählten Zielgruppen durch – sei es für neue oder alle Mitarbeitende, Führungskräfte, Administrierende oder IT-Fachkräfte. Zusätzlich bieten wir die Konzeption und Durchführung weiterer Sensibilisierungsmaßnahmen an: Unsere Instrumente reichen von Awareness-Flyern und Konzepten über kreative Themenvertiefung bis hin zu Live-Hacking-Shows.
Wenn das ISMS einen fortgeschrittenen Reifegrad erreicht hat, können Sie fortführend eine Zertifizierung nach der Norm ISO/IEC 27001 auf Basis des IT-Grundschutzes anstreben. Mit diesem anerkannten Zertifikat belegen Sie ein funktionsfähiges ISMS belegen und verfügen damit über eines der wertvollsten Sicherheitssiegel Deutschlands.
Unsere erfahrenen Berater*innen, akkreditierten Auditor*innen und Revisor*innen unterstützen Sie bei der Zertifizierungsvorbereitung – auf Wunsch auch während der Prüfung selbst. Wenn Sie sich nicht sicher sind, ob Sie alle Voraussetzungen für eine Zertifizierung erfüllen, prüfen wir diese im Rahmen eines internen Vor-Audits. So sind Sie für die tatsächliche Zertifizierung erfolgreich vorbereitet. Sofern Sie im ersten Schritt kein ISO/IEC 27001-Zertifikat auf Basis von IT-Grundschutz benötigen, bieten wir auch Audits zum Erwerb von „Einsteiger“-Zertifikaten mit ein- bzw. zweijähriger Laufzeit.
Zertifizierungen des ISMS nach ISO/IEC 27001 auf Basis des IT-Grundschutzes haben eine Laufzeit von bis zu drei Jahren. Danach erfolgt eine Re-Zertifizierung. Damit Sie weiterhin zertifiziert werden, unterstützen wir Sie bei den jährlichen Überwachungsaudits. Hierfür begleiten wir Sie frühzeitig bei der Planung und Behandlung von Veränderungen im Zertifizierungsverbund und unterstützen Sie dabei, identifizierte Mängel zu beheben.
Schicken Sie uns eine Anfrage über das Kontaktformular. Wir helfen gerne weiter.
