WIR STÄRKEN IHRE SICHERHEIT

Begleitung bei der Einführung eines Informationssicherheitsmanagementsystems auf Grundlage der ISO 27001 oder TISAX®

Ein InformationsSicherheitsManagementSystem (ISMS) beschreibt Richtlinien, Verfahren und Verantwortlichkeiten mit dem Ziel, die Informationssicherheit in einem Unternehmen dauerhaft zu gewährleisten, zu steuern und fortlaufend zu optimieren. Das ISMS ist üblicherweise prozessorientiert aufgebaut und folgt dem Top-Down-Prinzip.

Die Spielregeln für ein einheitliches Vorgehen sind in der Norm zum Informationssicherheits-Management DIN ISO/IEC 27000-Reihe oder den IT-Grundschutz Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik beschrieben.

Eine spezifisch auf die Automobilindustrie ausgerichtete Form der Informationssicherheit stellt das TISAX®  Modell des VDA dar. TISAX® steht für Trusted Information Security Assessment Exchange und ergänzt die Anforderungen der ISO 27001 um Themen wie Prototypensicherheit, Anbindung Dritter und Datenschutz. Lieferanten und Dienstleister der Automobilindustrie, die Informationen der Kunden verarbeiten, werden häufig verpflichtet sich diesem Assessment zu stellen und entsprechende Freigaben nachzuweisen. Ziel des Modells ist die Reduzierung von kundenspezifischen Audits bei den Dienstleistern. TISAX® ist eine eingetragene Marke und unterliegt der ENX®-Association.

Die drei Schutzziele der Informationssicherheit unterteilen sich in:

• Vertraulichkeit (Schutz vor unbefugtem Zugriff auf Informationen),
• Verfügbarkeit (Gewährleistung eines unterbrechungsfreien Zugangs zu Systemen und Daten)
• Integrität (Sicherstellung der Korrektheit und Unversehrtheit von Informationen)

Mit Hilfe der Schutzziele sollen Risiken für Organisationen soweit es geht minimieren werden.

Die Einführung eines ISMS erfolgt auf der Grundlage eines erprobten Vorgehensmodell. Wir beraten und unterstützen Sie bei der Konzeption und dem Aufbau eines Managementsystems zur Informationssicherheit auf der Grundlage der entsprechenden Regelwerke.

Erfahren Sie mehr über den Weg zu einem TISAX® Label in unserem Blogbeitrag oder in einem persönlichen Gespräch. Wir freuen uns auf Ihre Kontaktaufnahme.

Unterstützung bei der Einführung und beim Aufbau von sicherheitsrelevanten Prozessen und Richtlinien – speziell für kleine Organisationen

Um die Informationssicherheit in Ihrem Unternehmen zu stärken, muss nicht immer ein vollständiges Managementsystem nach ISO 27001 oder anderen Regelwerken aufgebaut werden. Auch wenn die Notwendigkeit einer Zertifizierung nicht vorhanden ist, kann es mehrere Gründe geben, aus denen es sinnvoll ist ein Informationssicherheitsmanagement einzuführen:

• Schutz sensibler Daten
• Einhaltung gesetzlicher Vorschriften
• Stärkung des Vertrauens
• Risikominimierung
• Sicherung von Wettbewerbsvorteilen

Insgesamt trägt die Einführung eines Informationssicherheitsmanagements dazu bei, die Sicherheit Ihrer Unternehmensdaten zu gewährleisten und das Vertrauen Ihrer Kunden und Geschäftspartner zu stärken.

Ein Informationssicherheitsmanagement für kleine und mittlere Unternehmen (KMU) sollte auf die spezifischen Bedürfnisse und Ressourcen zugeschnitten sein. Im folgenden finden Sie Maßnahmen, um die Informationssicherheit in Ihrem Unternehmen zu stärken:

• Risikoanalyse: Identifizieren Sie die potenziellen Bedrohungen und Schwachstellen in Ihrem Unternehmen, die Ihre Informationen gefährden könnten. Führen Sie eine umfassende Risikoanalyse durch, um die wichtigsten Risiken zu identifizieren.
• Sicherheitsrichtlinien: Entwickeln Sie klare Sicherheitsrichtlinien und Verfahren, die alle Mitarbeiter einhalten müssen. Diese Richtlinien sollten den Umgang mit sensiblen Informationen, den Zugriff auf Daten und die Nutzung von IT-Systemen regeln.
• Schulung der Mitarbeiter: Schulen Sie Ihre Mitarbeiter regelmäßig im Umgang mit sensiblen Informationen und IT-Sicherheit. Sensibilisieren Sie sie für die Risiken von Phishing-Angriffen, Malware und anderen Bedrohungen.
• Zugriffskontrolle: Implementieren Sie strenge Zugriffskontrollen, um sicherzustellen, dass nur autorisierte Personen auf sensible Informationen zugreifen können. Verwenden Sie starke Passwörter, Zwei-Faktor-Authentifizierung und andere Sicherheitsmaßnahmen.
• Datensicherung: Stellen Sie sicher, dass Ihre Daten regelmäßig gesichert werden, um im Falle eines Datenverlusts schnell wiederhergestellt werden zu können. Speichern Sie Backups an einem sicheren Ort außerhalb des Unternehmensnetzwerks.
• Incident Response Plan: Entwickeln Sie einen Notfallplan für den Umgang mit Sicherheitsvorfällen wie Datenlecks oder Cyberangriffen. Definition von klaren Verantwortlichkeiten und Maßnahmen zur Reaktion auf solche Vorfälle.

Wir unterstützen Sie bei der Einführung von erforderlichen Prozessen, der Organisationsstruktur und einer rechtlich notwendigen Dokumentation für ein Informationssicherheitsmanagementsystem. Auf Basis einer Risikobetrachtung adaptieren wir die Forderungen der verschiedenen Standards mit der Intention, eine optimale Schutzwirkung für Ihr Unternehmen zu entwickeln.

Vorbereitung, Durchführung und Nachbereitung der regelmäßigen internen Audits, sowie Begleitung externer Audits

Eine wichtige Voraussetzung für die Zertifizierung nach ISO 27001 oder TISAX® ist die Durchführung regelmäßiger interner Audits des Informationssicherheitsmanagementsystems (ISMS). Dabei verfolgt das Audit das Ziel, Nichtkonformitäten zu den Anforderungen der Norm aufzudecken und so wichtige Ansätze zur Optimierung oder Verbesserung Ihres Managementsystems zu liefern.

Ein internes Audit ist eine systematische Überprüfung der betrieblichen Prozesse, Verfahren und Kontrollen eines Unternehmens. Dabei wird untersucht, ob diese den festgelegten Standards, Richtlinien und gesetzlichen Vorgaben entsprechen. Das Ziel eines internen Audits ist es, potenzielle Risiken und Schwachstellen aufzudecken und Verbesserungsmöglichkeiten aufzuzeigen. Es handelt sich um eine wichtige Maßnahme zur Gewährleistung der Effizienz, Effektivität und Compliance eines Unternehmens.

Dieses können Sie ebenfalls für einen Bestandsaufnahme der aktuellen Situation nutzen. In diesem Fall prüfen wir die vorhandene Organisation gegen die Anforderungen der ISO 27001, TISAX® oder anderweitiger Kundenanforderungen zur Informationssicherheit.

Im Rahmen der Durchführung von internen Audits gibt es verschiedene Aktivitäten, die typischerweise stattfinden:

• Planung: Der interne Auditor erstellt einen Auditplan, der den Umfang, die Ziele und den Zeitrahmen des Audits festlegt. Dabei werden auch die relevanten Unterlagen und Informationen gesammelt.
• Vorbereitung: Der Auditor bereitet sich auf das Audit vor, indem er die relevanten Prozesse, Verfahren und Kontrollen des Unternehmens analysiert. Er identifiziert potenzielle Risiken und Schwachstellen, die während des Audits überprüft werden sollen.
• Durchführung: Der Auditor führt Interviews mit Mitarbeitern durch, um Informationen zu sammeln und Prozesse zu verstehen. Er überprüft auch Dokumente, Aufzeichnungen und andere Nachweise, um die Einhaltung der Standards und Richtlinien zu bewerten.
• Bewertung: Der Auditor analysiert die gesammelten Informationen und bewertet die Wirksamkeit der Prozesse, Verfahren und Kontrollen. Er identifiziert Stärken und Schwächen und gibt Empfehlungen zur Verbesserung.
• Berichterstattung: Der Auditor erstellt einen Auditbericht, der die Ergebnisse des Audits zusammenfasst. Darin werden die festgestellten Mängel, Empfehlungen zur Verbesserung und gegebenenfalls Maßnahmenpläne zur Behebung der identifizierten Probleme aufgeführt.
• Follow-up: Nach dem Audit überwacht der Auditor die Umsetzung der empfohlenen Maßnahmen und überprüft, ob die identifizierten Mängel behoben wurden. Gegebenenfalls wird ein Folgeaudit durchgeführt, um die Wirksamkeit der getroffenen Maßnahmen zu überprüfen.

Wir übernehmen gerne für Sie die Durchführung Ihrer internen Audits.

Dabei analysieren wir, ob Ihre Prozesse, Anforderungen und Richtlinien den geforderten Standards entsprechen. Wir identifizieren Abweichungen und Verbesserungspotenziale, um die kontinuierliche Verbesserung des ISMS zu fördern, und dokumentieren das Ergebnis als Auditbericht. Dazu stehen Ihnen unsere erfahrenen Berater mit der nötigen Objektivität und Unparteilichkeit als interne Auditoren zur Seite, damit Sie Ihre Unternehmensziele erreichen. Dazu gehören zum Beispiel:

• Durchführung Voraudits oder auch Readiness Audit
• Durchführung oder Begleitung der internen Audits
• Unterstützung bzw. Durchführung der Dokumentenprüfung zur Auditvorbereitung (Stage 1)
• Beratung hinsichtlich der optimalen Vorbereitung auf das Zertifizierungs-Audit (Stage 2)

Darüber hinaus begleiten wir Sie auch bei externen (Zertfizierungs)-Audits.

Eine Informationssicherheitsmanagement ist ein lebendiger Prozess, mit dessen Hilfe die Vertraulichkeit, Verfügbarkeit und Integrität von Unternehmensinformationen sicherstellt werden soll. In vielen Unternehmen ist es allerdings schwierig, ein angemessenes Informationssicherheitsniveau herzustellen und aufrechtzuerhalten. Fehlende Ressourcen und steigende Anforderungen können Gründe dafür sein.

Der externe Informationssicherheitsbeauftragte unterstützt Ihr Unternehmen beim Management der Informationssicherheit und orientiert sich bei der Ausrichtung an nationalen sowie internationalen Sicherheitsstandards. Er arbeitet für die Erfüllung dieser Aufgaben eng mit der Unternehmensleitung, der IT‑Leitung, dem Datenschutzbeauftragten und allen anderen Stellen des Informationssicherheitsmanagements zusammen.

Wir stellen Ihnen auf Wunsch einen externen Informationssicherheitsbeauftragten, der für die Erfüllung der Aufgaben im Informationssicherheitsmanagement in Ihrem Unternehmen sorgt und sie dabei unterstützt, Ihre schützenswerten Assets zu identifizieren, IT-Sicherheitsprozesse zu etablieren und Risiken zu managen.

Diese Dienstleistung können wir auch in Verbindung mit einem externen betrieblichen Datenschutzbeauftragten anbieten, was aufgrund der Überschneidung von Anforderungen zu einer effizienten Lösung führt.

Ihre Mehrwerte auf einen Blick

• Transparente und planbare Kosten
• Keine Kosten für Weiterbildung
• Branchen und projektübergreifende Praxiserfahrung
• Vorlagen und Templates zu den Anforderungen der Normen
• Keine Interessenkonflikte

Treten Sie jetzt mit uns in Kontakt.