Security Audit für KMU – Teil 1 IT-Sicherheit nach den Standards ISO 27001 und BSI Grundschutz

Viele kleine und mittlere Unternehmen winken beim Thema Security Audit ab. Obwohl die Notwendigkeit von regelmäßigen Überprüfungen der IT-Sicherheit unbestreitbar ist, schrecken komplizierte Standards und hohe Kosten für eine eventuelle Zertifizierung ab. Doch es gibt Wege, den Aufwand in kalkulierbarem Rahmen zu halten.

Anbieter zum Thema

SonicWall Germany

Arvato Systems

SEPPmail - Deutschland GmbH

Kaum ein Manager oder IT-Leiter wird ernsthaft bezweifeln, dass regelmäßige Kontrollen der eigenen Sicherheit nötig sind. Die ständige schnelle Weiterentwicklung von Technologien und Arbeitsweisen in der IT birgt die Gefahr, dass Sicherheitslücken aufgerissen werden und Angriffspotenzial für Eindringlinge bieten. Ohne einen Prozess von permanenten Kontrollen und Verbesserungen führen diese Einfalltore zu Sicherheitsvorfällen wie Datendiebstahl oder Missbrauch von IT-Systemen.

Etablierte Standards geben Hilfestellung

Damit regelmäßig durchgeführte Security Audits nicht bei Null beginnen, ist es sinnvoll, auf etablierte Standards zu setzen. Standards haben den großen Vorteil, dass das Rad nicht mehr neu erfunden werden muss und auf wertvolle Erfahrungen anderer aufgesetzt wird.

Doch hier fangen bereits die Schwierigkeiten an. Welcher Standard soll als Vorlage und Inspirationsquelle für ein eigenes Audit genommen werden? Die Prüfung der Sicherheit ist mittlerweile zu einem florierenden Geschäftszweig für externe Berater und Auditoren geworden. Deshalb gibt es eine ganze Reihe miteinander konkurrierender Ansätze, Sicherheit zu erfassen und zu prüfen. Die Auswahl fällt schwer.

In Deutschland haben sich zwei Standards etabliert, deren Konzepte ganz unterschiedlich ansetzen. Da gibt es zum einen die IT-Grundschutz-Kataloge des Bundesamts für Sicherheit in der Informationstechnik (BSI). Diese umfassen mittlerweile fünf dicke Bände und enthalten detaillierte Vorschläge zur Absicherung aller Bereiche der IT.

Der IT-Grundschutz nach dem BSI war lange Jahre der wichtigste Standard für deutsche Unternehmen und Behörden. Allerdings stöhnen viele Auditoren über Umfang und Komplexität der Kataloge und die damit einhergehenden hohen Kosten für ein Audit. Außerdem fühlen sich besonders kleine und mittlere Unternehmen überfordert, die für eine Zertifizierung nötigen komplizierten Prozesse und Verfahrensweisen einzuführen.

Auf der anderen Seite steht der internationale Standard ISO 27001 „IT-Sicherheitsverfahren – Informationssicherheits-Managementsysteme – Anforderungen“, der als ein dünnes A4-Heft von weniger als 50 Seiten daherkommt. Die ISO 27001 wurde aus dem schon seit 1995 existierenden britischen Dokument BS 7799 abgeleitet. In diesem als „Code of practice“ bezeichneten Werk werden praktikable Hinweise gegeben, wie Sicherheit in der eigenen IT-Umgebung verankert werden kann.

Inhalt

• Seite 1: Etablierte Standards geben Hilfestellung
• Seite 2: Gleiches Ziel, unterschiedliche Ansätze
• Seite 3: Konkurrenz von Zertifizierungen

(ID:2047780)