WIR STÄRKEN IHRE SICHERHEIT

Begleitung bei der Einführung eines Informationssicherheitsmanagementsystems auf Grundlage der ISO 27001 oder TISAX®

Im Rahmen der Implementierung eines Informationssicherheitsmanagementsystems (ISMS) werden  Richtlinien und Verfahren beschrieben sowie Verantwortlichkeiten definiert. Ziel ist es, die Informationssicherheit in der Organisation langfristig und nachhaltig zu implementieren und weiterzuentwickeln. Ein ISMS ist üblicherweise prozessorientiert aufgebaut und folgt dem Top-Down-Prinzip.

Die Spielregeln für ein einheitliches Vorgehen sind in der Norm zum Informationssicherheits-Management DIN ISO/IEC 27000-Reihe oder den IT-Grundschutz Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik beschrieben.

Eine spezifisch auf die Automobilindustrie ausgerichtete Form der Informationssicherheit stellt das TISAX®  Modell des VDA dar. TISAX® steht für Trusted Information Security Assessment Exchange und ergänzt die Anforderungen der ISO 27001 um Themen wie Prototypensicherheit, Anbindung Dritter und Datenschutz. Lieferanten und Dienstleister der Automobilindustrie, die Informationen der Kunden verarbeiten, werden häufig verpflichtet sich diesem Assessment zu stellen und entsprechende Freigaben nachzuweisen. Ziel ist es, kundenspezifische Audits bei den Dienstleistern und Lieferanten zu reduzieren. TISAX® ist eine eingetragene Marke und unterliegt der ENX®-Association.

Die drei Schutzziele der Informationssicherheit unterteilen sich in:

• Vertraulichkeit (Schutz vor unbefugtem Zugriff auf Informationen),
• Verfügbarkeit (Gewährleistung eines unterbrechungsfreien Zugangs zu Systemen und Daten)
• Integrität (Sicherstellung der Korrektheit und Unversehrtheit von Informationen)

Mit Hilfe der Schutzziele sollen Risiken für Organisationen soweit es geht minimiert werden.

Die Einführung eines ISMS erfolgt auf der Grundlage eines erprobten Vorgehensmodell. Wir beraten und unterstützen Sie bei der Konzeption und dem Aufbau eines Managementsystems zur Informationssicherheit auf der Grundlage der entsprechenden Regelwerke.

Erfahren Sie mehr über den Weg zu einem TISAX® Label in unserem Blogbeitrag oder in einem persönlichen Gespräch. Wir freuen uns auf Ihre Kontaktaufnahme.

Unterstützung bei der Einführung und beim Aufbau von sicherheitsrelevanten Prozessen und Richtlinien – speziell für kleine Organisationen

Um die Informationssicherheit in Ihrem Unternehmen zu stärken, muss nicht immer ein vollständiges Managementsystem nach ISO 27001 oder anderen Regelwerken aufgebaut werden. Auch wenn die Notwendigkeit einer Zertifizierung nicht vorhanden ist, kann es mehrere Gründe geben, aus denen es sinnvoll ist ein Informationssicherheitsmanagement einzuführen:

• Schutz sensibler Daten
• Einhaltung gesetzlicher Vorschriften
• Stärkung des Vertrauens
• Risikominimierung
• Sicherung von Wettbewerbsvorteilen

Zusammenfassend trägt die Einführung eines Informationssicherheitsmanagements dazu bei, die Sicherheit Ihrer Informationen zu gewährleisten und das Vertrauen Ihrer Kunden und Geschäftspartner langfristig zu stärken.

Ein Informationssicherheitsmanagement für kleine und mittlere Unternehmen (KMU) muss auf die spezifischen Bedürfnisse und Ressourcen zugeschnitten sein um erfolgreich implementiert zu werden. Im Folgenden finden Sie wichtige Maßnahmen, um die Informationssicherheit in Ihrer Organisation zu stärken:

• Risikoanalyse: Identifizieren Sie die potenziellen Bedrohungen und Schwachstellen in Ihrer Organisation, die Ihre Informationen gefährden könnten. Führen Sie eine umfassende Risikoanalyse durch, um die wichtigsten Risiken zu identifizieren.
• Richtlinien: Entwickeln Sie eindeutig formulierte Richtlinien und Verfahren, die durch alle Beschäftigten eingehalten werden müssen. Diese Richtlinien sollten den Umgang mit Informationen, den Zugriff auf Daten oder die Nutzung von innerbetrieblichen IT-Systemen regeln.
• Schulung der Beschäftigten: Schulen Sie Ihre Beschäftigten regelmäßig im Umgang mit Informationen. Sensibilisieren Sie sie für die Risiken von Phishing-Angriffen, Malware und anderen Bedrohungen.
• Zugriffskontrolle: Es dürfen nur autorisierte Personen auf Informationen zugreifen, daher müssen Sie geeignete Zugriffskontrollen in Ihrer Organisation implementieren. Hierzu gehört die Verwendung starker Passwörter, die Einrichtung einer Zwei-Faktor-Authentifizierung und weitere technische Sicherheitsmaßnahmen.
• Back-Up und Datenssicherung: Ihre Daten müssen regelmäßig gesichert werden, um im Falle eines Datenverlusts schnell wiederhergestellt werden zu können. Die Sicherungen sollten an einem Ort, außerhalb der Organisation gespeichert werden und regelmäßig auf ihre Funktionsfähigkeit geprüft werden.
• Incident Response Plan: Der Umgang mit Sicherheitsvorfällen muss festgelegt und geübt sein. Definieren Sie daher Notfallpläne, die klare Verantwortlichkeiten und Maßnahmen zur Behebung und Bearbeitung von Sicherheitsvorfällen enthalten.

Wir unterstützen Sie bei der Einführung von erforderlichen Prozessen, der Organisationsstruktur und einer rechtlich notwendigen Dokumentation für ein Informationssicherheitsmanagementsystem. Auf Basis einer Risikobetrachtung adaptieren wir die Forderungen der verschiedenen Standards mit der Intention, eine optimale Schutzwirkung für Ihr Unternehmen zu entwickeln.

Vorbereitung, Durchführung und Nachbereitung der regelmäßigen internen Audits, sowie Begleitung externer Audits

Eine wichtige Voraussetzung für die Zertifizierung nach ISO 27001 oder TISAX® ist die Durchführung regelmäßiger interner Audits des Informationssicherheitsmanagementsystems (ISMS).

Innerhalb der internen Audits wird das Ziel verfolgt Abweichungen bzw. Nichtkonformitäten zu den Anforderungen der entsprechenden Norm aufzudecken. Dies soll dabei helfen den Verbesserungsprozess anzustoßen und so die Optimierung des ISMS voranzutreiben.

Ein internes Audit kann zudem für eine Bestandsaufnahme der aktuellen Situationgenutzt werden. In diesem Fall prüfen wir die vorhandene Organisation gegen die Anforderungen der ISO 27001, TISAX® oder anderweitiger Kundenanforderungen zur Informationssicherheit, um potenzielle Handlungsbedarfe zu ermitteln.

Wir übernehmen für Sie die Durchführung Ihrer internen Audits.Dazu gehören zum Beispiel:

• Durchführung Voraudits oder auch Readiness Audit
• Durchführung oder Begleitung der internen Audits
• Unterstützung bzw. Durchführung der Dokumentenprüfung zur Auditvorbereitung (Stage 1)
• Beratung hinsichtlich der optimalen Vorbereitung auf das Zertifizierungs-Audit (Stage 2)

Im Rahmen der Durchführung von internen Audits bieten wir Ihnen folgende Dienstleistungen an:

• Auditplanung und Erstellung eines Auditplans mit Zielen und Zeitrahmen
• Auditvorbereitung durch Analyse der Organisationsstruktur und Erstellung von Auditfragebögen
• Durchführung des Audits durch einen unabhängigen Auditor (Prüfung der Nachweise)
• Bewertung des Audits
• Erstellung eines Auditberichts mit Verbesserungsmaßnahmen
• Überwachung der Umsetzung der Maßnahmen

Darüber hinaus begleiten wir Sie auch bei externen (Zertfizierungs)-Audits.

Zuverlässige Organisation der Informationssicherheit durch die Bestellung eines externen Informationssicherheitsbeauftragten als Rundum-sorglos Lösung für Ihr Unternehmen.

Wir etablieren ganzheitlich die Informationssicherheit in Ihrer Organisation. Von der laufenden Analyse und Optimierung über die Schulung Ihrer Beschäftigten bis hin zur Übernahme der Funktion als externer Informationssicherheitsbeauftragter.

Unsere Komplettpaket im Überblick:

• Aufbau oder Fortführung eines Informationssicherheitsmanagementsystems
• Fachgerechte Beratung zur Informationssicherheit
• Schulung und Sensibilisierung der Beschäftigten
• Unabhängige Kontrollen bzw. Audits
• Erstellung von notwendigen Formularen und Richtlinien zur Informationssicherheit
• Analyse potenzieller Risiken und Kontakt mit Dritten
• Unterstützung bei der Bearbeitung von sicherheitrelevanten Vorfällen
• Bestellung als externer Informationssicherheitsbeauftragter

Wir stellen Ihnen einen externen Informationssicherheitsbeauftragten, der für die Erfüllung der Aufgaben im Informationssicherheitsmanagement in Ihrem Unternehmen sorgt und sie dabei unterstützt, Ihre Risiken zu managen. Diese Dienstleistung können wir auch in Verbindung mit einem externen betrieblichen Datenschutzbeauftragten anbieten.

Treten Sie jetzt mit uns in Kontakt.