Heutzutage reicht es nicht mehr aus, für eine sichere Verarbeitung von unternehmenskritischen Informationen nur technische Sicherheitslösungen einzusetzen. Organisatorische und personelle Maßnahmen müssen die technischen Lösungen komplettieren. Diese Maßnahmen zu planen und systematisch umzusetzen ist die Aufgabe des Informationssicherheits-Managements. Die Prüfung soll feststellen, welchen derzeitigen Stand diese Maßnahmen haben und konkrete Hinweise zur Verbesserung geben.

Vorgehensweise:

• Prüfen vorhandener Konzepte nach Standards wie z. B. ISO 27001
• Ausarbeiten des Fragenkataloges
• Fragenkatalog in Interviewform mit der IT-Leitung ggf. Geschäftsführung
• Auswertung des Fragenkataloges
• Präsentation der Ergebnisse
• Übergabe der Dokumentation

Für die Unterstützung des Managements von Informationssicherheit gibt es verschiedene geläufige Tools. Ein Tool, das bereits bei vielen Unternehmen im Gebrauch ist, ist Verinice, welches von der SerNet entwickelt wird. Dieses Informationssicherheitsmanagement-Tool bietet durch seine Struktur als Open-Source weitreichende Möglichkeiten im Hinblick auf Anpassbarkeit auf das jeweilige Unternehmen und dessen bereits vorhandener Prozesse oder Dokumente, wie zum Beispiel Reports. Außerdem ist die Grundversion des Tools kostenlos.  Verinice umfasst sowohl Sicherheitsmanagement nach ISO 27001, als auch nach IT-Grundschutz. Entsprechende Kataloge/Standards können einzeln oder in der Servervariante des Tools bei der SerNet erworben werden.

Die Berater der Sila Consulting GmbH haben bereits mehrjährige Erfahrung mit diesem Tool und stehen daher bei Fragen der Einführung, Anpassung und dem alltäglichen Umgang mit diesem zur Verfügung. Außerdem ist durch eine Partnerschaft mit dem Entwickler des verinice auch weitreichender Support möglich.

In der heutigen Geschäftswelt werden Produkte just-in-time bestellt, produziert, versandt und verkauft. Die darin verwickelten Prozesse sind in jedem Unternehmen, je nach Größe mehr oder weniger, mit IT durchdrungen. Sind die Systeme nicht mehr verfügbar, hat dies große Auswirkung auf die Betriebsfähigkeit des Unternehmens.

Ziel bei der Etablierung eines Notfallmanagements ist die Planung, Erstellung und Pflege von Notfallmanagement-Prozessen und Dokumentationen.

Vorgehensweise:

Das Notfallmanagement gliedert sich in vier Teilbereiche:

• Umfassendes Verständnis der Organisation
• Entwickeln der Notfallmanagement-Strategie-Optionen (Workshop)
• Entwickeln und implementieren von Reaktionsmaßnahmen
• Qualitätssicherung / Abnahme

Der IT-Sicherheitsbeauftragte ist eine Person mit eigener Fachkompetenz zur IT-Sicherheit in einer Stabsstelle eines Unternehmens oder einer Behörde. Er ist für alle IT-Sicherheitsfragen, Mitwirkung im IT-Sicherheitsprozess und IT-Sicherheitsmanagement- Team zuständig.

Vorteile eines externen IT-Sicherheitsbeauftragten

• Unabhängigkeit und Neutralität
• Expertenwissen und Projekterfahrungen aus anderen Unternehmen
• Kontrollfunktion kann optimal wahrgenommen werden
• Entfall der Fortbildungskosten
• Entlastung eigener Ressourcen

Aufgaben des externen IT-Sicherheitsbeauftragten

• die Verantwortung für die Erstellung und Pflege aller durch die angewandten Standards geforderten Unterlagen
• die Verantwortung für Planung und Umsetzungsinitiierung der Maßnahmen
• die Sicherstellung des Informationsflusses zwischen Unternehmensleitung, IT-Verantwortlichen und Mitarbeitern
• das Erstellen von Management-Berichten
• die Revision der umzusetzenden Maßnahmen
• und die Sensibilisierung von Geschäftsführung, Mitarbeitern und IT-Personal