Definition ISMS

Was ist ein Information Security Management System (ISMS)?

| Autor / Redakteur: Stefan Luber / Peter Schmitz

Ein Information Security Management System (ISMS) definiert Regeln, Methoden und Abläufe, um die IT-Sicherheit in einem Unternehmen zu gewährleisten, zu steuern und zu kontrollieren.
Ein Information Security Management System (ISMS) definiert Regeln, Methoden und Abläufe, um die IT-Sicherheit in einem Unternehmen zu gewährleisten, zu steuern und zu kontrollieren. (Bild: Pixabay / CC0)

Ein Information Security Management System (ISMS) definiert Regeln und Methoden, um die Informationssicherheit in einem Unternehmen oder in einer Organisation zu gewährleisten. Das ISMS ist prozessorientiert und verfolgt einen Top-Down-Ansatz ausgehend von der Unternehmensführung.

Die Abkürzung ISMS steht für Information Security Management System. Der deutsche Begriff für ISMS lautet Managementsystem für die Informationssicherheit. Innerhalb des ISMS sind Regeln, Verfahren, Maßnahmen und Tools definiert, mit denen sich die Informationssicherheit steuern, kontrollieren, sicherstellen und optimieren lässt. Durch die IT verursachte Risiken sollen identifizierbar und beherrschbar werden.

Da das Information Security Management System in den Verantwortungsbereich der Unternehmensführung fällt, nutzt es einen Top-Down-Ansatz zur Durchsetzung der IT-Sicherheit. Das Aufstellen und Verabschieden von Security Policies erfolgt durch das Top-Management, die eigentliche Ausarbeitung der Details und Umsetzung kann an andere Führungskräfte oder Mitarbeiter übertragen werden. In diesem Zusammenhang können IT- und Datenschutzbeauftragte benannt werden. Die Normierung des Information Security Management Systems erfolgt in der Standardreihe ISO/IEC 2700x. Wichtige Bestandteile der Standardreihe sind ISO 27001 (Zertifizierungsanforderungen) und ISO 27003 (Entwicklung und Implementierung des ISMS). DIN NIA-01-27 IT-Sicherheitsverfahren betreut den deutschen Anteil der Normungsarbeit. Essenziell für ein ISMS ist die Umsetzung in allen Bereichen und Ebenen der Organisation.

Nötige Schritte zur Umsetzung eines ISMS

Die Planung, Umsetzung und Aufrechterhaltung des ISMS lässt sich in einzelne Prozessschritte unterteilen. Im ersten Schritt ist festzulegen, was das Information Security Management System leisten soll und welche Werte und Informationen zu schützen sind. Sowohl der Anwendungsbereich als auch die Grenzen des ISMS sind klar zu definieren.

Anschließend sind innerhalb des Anwendungsbereichs des ISMS die Risiken zu identifizieren und einzuordnen. Kriterien hierfür können gesetzliche Anforderungen oder Compliance-Richtlinien sein. Ergebnis ist eine Einschätzung, welche Risiken vertretbar sind und welche ausgeschlossen werden müssen. Es muss klar erkennbar sein, welche Auswirkungen durch die einzelnen Risiken entstehen können. Die Folgen, die durch den Verlust von Vertraulichkeit, Integrität und Verfügbarkeit eintreten, sind dabei zu berücksichtigen. Ebenfalls Teil der Risikobewertung sind die Eintrittswahrscheinlichkeiten der Risiken.

Auf Basis dieser Risikobewertung kann die Auswahl und Umsetzung geeigneter Maßnahmen zur Risikovermeidung erfolgen. Die beschlossenen und umgesetzten Maßnahmen sind in einem kontinuierlichen Prozess zu prüfen und zu optimieren. Werden Mängel oder neue Risiken erkannt, ist der komplette ISMS-Prozess von Beginn an neu zu durchlaufen.

Die Rolle eines IT-Sicherheitsbeauftragten im ISMS

Eine Aufgabe Innerhalb des ISMS ist die Benennung eines IT-Sicherheitsbeauftragten. Dieser ist in den ISMS-Prozess integriert und eng mit den IT-Verantwortlichen bei Aufgaben wie der Auswahl neuer IT-Komponenten und -Anwendungen verzahnt. Innerhalb des Unternehmens ist er der Ansprechpartner für sämtliche Fragen, die die IT-Sicherheit betreffen. Der Vorstand oder das oberste Management benennt den IT-Sicherheitsbeauftragten. Er ist direkt dem Vorstand unterstellt und berichtet regelmäßig an diesen. Zur Durchführung seiner Aufgaben ist er mit eigenen finanziellem Budget ausgestattet.

Das Information Security Management System und der IT-Grundschutz des BSI

Die IT-Grundschutz-Kataloge des BSI (Bundesamt für Sicherheit in der Informationstechnik) stellen ein Konzept für die Umsetzung eines ISMS dar. Der BSI-Standard 100-1 bietet Hilfestellungen bei der Einführung, Umsetzung und Aufrechterhaltung eines Information Security Management Systems und sind an die Norm ISO/IEC 27001 angepasst. Für deutsche Behörden stellt der IT-Grundschutz eine Art Standard für die Informationssicherheit dar. Wesentliche Ziele des IT-Grundschutzes sind die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen.

Das Information Security Management System und der Datenschutz

Da innerhalb des ISMS personenbezogene Daten keine Sonderstellung genießen und alle zu schützenden Daten prinzipiell gleichbehandelt werden, muss ein Information Security Management System nicht zwingend auch den Datenschutz im Unternehmen beinhalten. Es hilft zwar generell die Daten zu schützen, garantiert aber nicht die Sicherheit der Verarbeitung sämtlicher personenbezogener Daten. Ein Informations-Sicherheitssystem ersetzt aus diesem Grund kein Datenschutz-Managementsystem. Um dem Datenschutz gerecht zu werden, sind geeignete weitere Maßnahmen zu definieren und umzusetzen. Zudem ist ein zusätzlicher Datenschutzbeauftragter zu benennen.

ISMS passt auch für den Mittelstand

Information Security Management System

ISMS passt auch für den Mittelstand

16.03.17 - In mittelständischen Betrieben wird es mit zunehmender Digitalisierung immer wichtiger, für Informationssicherheit zu sorgen. Ein Information Security Management System (ISMS) hilft, notwendige Maßnahmen und Richtlinien eines Sicherheitskonzeptes zu definieren, zu steuern und zu kontrollieren. Die Einführung eines ISMS ist je nach Vorgehensweise jedoch verhältnismäßig aufwändig. Es lohnt sich deshalb, die verschiedenen Rahmenwerke näher zu betrachten. lesen

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Erfolgreiches ISMS in 4 Schritten

ISMS unkompliziert

Erfolgreiches ISMS in 4 Schritten

Unternehmen müssen ihre Daten schützen und kommen dabei am Thema Informations­sicherheits­management nicht vorbei. Ein gutes Information Security Management System (ISMS) berücksichtigt immer auch den Faktor Mensch. Mit einer richtigen Strategie ist es aber möglich, ein ISMS ohne Reibungsverluste in bereits bestehende Abläufe zu integrieren und eine Kultur zu schaffen, die die Sicherheit der Informationen priorisiert. lesen

Ein Managementsystem für den Datenschutz

Standard Datenschutzmodell 2.0

Ein Managementsystem für den Datenschutz

Viele Unternehmen haben bereits ein Managementsystem für die IT-Sicherheit und die Qualität der Prozesse eingeführt, doch im Datenschutz sind solche Managementsysteme noch Mangelware. Mit dem neuen Standard Datenschutzmodell (SDM 2.0) kann sich dies ändern. Es bietet eine wichtige Unterstützung bei der Umsetzung und Einhaltung der Datenschutz-Grundverordnung (DSGVO). lesen

Die Zeit ist reif für Zero Trust!

Sicherheitsprognosen 2020

Die Zeit ist reif für Zero Trust!

2020 wird nicht nur das IT-Sicherheitsgesetz 2.0 die Anforderungen an kritische Infrastrukturen deutlich ändern, sondern es gelangen auch weitere dringende Themen in den Vordergrund. Dazu gehört nach den Trendaussagen von Detlev Henze, Geschäftsführer TÜV Trust IT, TÜV Austria, der Zero Trust-Ansatz ebenso wie agile ISMS. Zudem wird der Bedarf am Standard IEC 62443 in der OT steigen und der Aspekt der Usable Security zusätzlich in den Fokus rücken. lesen

Fünf Schritte zu mehr Datensicherheit

IT-Security

Fünf Schritte zu mehr Datensicherheit

Vertraulichkeit, Integrität und Verfügbarkeit, das sind die Ziele von Datensicherheit. Die Maßnahmen, um die Ziele zu erreichen, sind jedoch unterschiedlich. Die IT-Strategie von MTI Technology versucht, alle Komponenten der Datensicherheit über das gesamte Datacenter hinweg zusammenzubringen. lesen

ISMS-Lösungen als Schlüssel zum Zertifizierungserfolg

Einführung eines Informations­sicherheits­management­systems

ISMS-Lösungen als Schlüssel zum Zertifizierungserfolg

Keine Organisation kann es sich heute noch leisten, den Schutz ihrer digitalen Werte und der IT-Infrastruktur zu vernachlässigen. Aber: Ein Informations­sicherheits­management­system (ISMS) zu implementieren, ist aufwändig. Unternehmen können aber mit dem nötigen Know-how bei der Einführung eines ISMS Zeit, Kosten und Nerven sparen. lesen

Was ist der BSI-Standard 200-2?

Definition IT-Grundschutz BSI-Standard 200-2

Was ist der BSI-Standard 200-2?

Neben den Standards 200-1 und 200-3 ist der BSI-Standard 200-2 elementarer Bestandteil der IT-Grundschutz-Methodik des BSI. Er definiert Methoden des Aufbaus, der Überprüfung und der Erweiterung eines Informations­sicherheits­management­systems (ISMS). Es stehen verschiedene Vorgehensweisen für die Basis-, Standard- oder Kern-Absicherung zur Verfügung. Der Standard ist kompatibel zur Zertifizierung nach ISO 27001. 2017 löste 200-2 den BSI-Standard 100-2 ab. lesen

Was ist der BSI-Standard 200-1?

Definition IT-Grundschutz BSI-Standard 200-1

Was ist der BSI-Standard 200-1?

Der BSI-Standard 200-1 ist neben den Standards 200-2 und 200-3 ein elementarer Bestandteil der IT-Grundschutz-Methodik des BSI. Er definiert die allgemeinen Anforderungen an Information Security Management Systeme (ISMS - Managementsysteme für Informations­sicherheit) und ist kompatibel zum ISO-Standard 27001. Ziel des BSI-Standards ist es, Geschäftsprozesse von Unternehmen und Behörden sicherer zu gestalten und Daten zu schützen. Der BSI-Standard 200-1 löste 2017 den BSI-Standard 100-1 ab. lesen

Was ist VdS 3473?

Definition VdS 3473

Was ist VdS 3473?

Die Richtlinie VdS 3473 definiert Mindestanforderungen an die Cybersecurity kleiner und mittlerer Unternehmen. Sie wurde von der VdS Schadenverhütung GmbH entwickelt und veröffentlicht. Unternehmen können sich nach VdS 3473 zertifizieren lassen. 2018 wurde die Richtlinie durch die VdS 10000 abgelöst. lesen

Was die BSI-Standards 200 für Unternehmen bedeuten

Mehr IT-Sicherheit durch Standards

Was die BSI-Standards 200 für Unternehmen bedeuten

Das Bundesamt für Sicherheit in der Infor­ma­ti­ons­technik (BSI) will mit der Weiterent­wicklung des BSI 200-Standards als Teil des IT-Grundschutzes Unternehmen dabei helfen, einheitliche Vorgaben in der IT-Sicherheit zu befolgen. Unternehmen, die ihre IT-Sicherheit nachhaltig verbessern wollen, sollten sich zeitnah mit den Anforderungen der aktu­alisierten BSI-Standards auseinandersetzen. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 44924228 / Definitionen)