Blog
Newsletter
Login
IT-Systeme für ein wirksames ISMS – Dokumentation, Nachweisführung und Bewusstseinsbildung
Data Privacy von Chantal Nußbaum
Grundvorraussetzung für ein zertifiziertes ISMS sind die Dokumentation und Nachweisführung wichtiger Informationen. Zahlreiche IT-Systeme unterstützen dabei.
Ein Informationssicherheitsmanagementsystem (ISMS) kann nur dann erfolgreich zertifiziert und nachvollzogen werden, wenn die erforderliche Dokumentation und Nachweisführung vorliegt. Im Rahmen einer ISO-Zertifizierung (bspw. ISO 27001 oder auch ISO 9001) wird von „dokumentierter Information“ gesprochen. Dokumentierte Informationen bilden das Fundament eines jeden ISMS. Dazu gehören Richtlinien, Prozessbeschreibungen und Aufzeichnungen, die wichtige Details zur Absicherung sensibler Daten sowie zur Aufrechterhaltung der Wirksamkeit des ISMS enthalten.
Ziel der Dokumentation ist eine nachvollziehbare Planung, Umsetzung, Überwachung und sichtbare, kontinuierliche Verbesserung aller Maßnahmen zum Schutz sensibler Daten. Diese ganzheitliche Betrachtungsweise stellt sicher, dass das ISMS stets an die sich wandelnden Bedrohungen und Anforderungen angepasst werden kann.
Merkmale dokumentierter Information
- Klare Identifikation und Beschreibung
Um eine klare Identifizierung und Beschreibung dokumentierter Informationen zu gewährleisten, müssen folgende Angaben mindestens enthalten sein:
- Titel: Eine kurze und prägnante Bezeichnung des Dokuments
- Datum: Das Erstellungsdatum des Dokuments
- Autor: Der Name der Person oder der Personen, die das Dokument erstellt haben
- Referenznummer (optional): Eine eindeutige Kennzeichnung zur leichten Zuordnung von Verknüpfungen zu anderen Dokumenten
- Formatierung und Medium
Um die Einheitlichkeit und Lesbarkeit der Dokumentation zu gewährleisten, müssen das Format und das Medium festgelegt werden:
- Format: Welche Sprache wird verwendet? Welche Softwareversion ist für Dokumente relevant? Sind bestimmte Grafiken oder Symbole erforderlich?
- Medium: In welchem Format sollen die Dokumente vorliegen? Auf Papier, elektronisch oder in einer Kombination beider?
In einer digitalen Welt, in der die Sicherheit unserer Daten und Systeme täglich gefährdet wird, ist es entscheidend, dass Unternehmen und Organisationen ihre Sicherheitsmaßnahmen regelmäßig überprüfen und aktualisieren.
- Überprüfung und Freigabe
Dokumentierte Informationen sollten stets sorgfältig überprüft und genehmigt werden. Dieser Prozess soll die Qualität der Information sicherstellen und die Unabhängigkeit von Einzelnen gewährleisten, da es sich um eine gründliche Überprüfung handelt.
- Kontrolle
Die Kontrolle dokumentierter Informationen ist entscheidend. Sie beinhaltet die Sicherstellung, dass diese Informationen bei Bedarf leicht verfügbar sind und angemessen vor Vertraulichkeitsverletzungen, unsachgemäßer Verwendung oder Integritätsverlust geschützt sind. Dies umfasst Aktivitäten wie Verteilung, Zugriff, Speicherung, Aufbewahrung, Versionskontrolle und Aufbewahrung.
- Nachweise
Umsetzungsnachweise untermauern die geplanten und realisierten Sicherheitsmaßnahmen. Diese können ganz unterschiedlicher Natur sein, beispielsweise Geheimhaltungsklauseln in Arbeitsverträgen, Zertifikate von Schulungen zum Datenschutz und der Informationssicherheit, Protokolle der durchgeführten NEA/ USV-Tests oder Logs der Umsetzung von Zugangsbeschränkungen. Diese Nachweise müssen den Anforderungen der Vorgaben im ISMS erfüllen, da ansonsten keine Konformität zwischen Planung und Umsetzung sowie kontinuierliche Verbesserung gegeben ist.
Damit die Dokumentation und Nachweisführung gelingt, können verschiedene Werkzeuge behilflich sein. Nachfolgende Tools können bei der Dokumentation und Nachweisführung maßgeblich unterstützen.
Alle Systeme auf einen Blick
- Ticketsystem
- Dokumentenmanagementsystem
- Digitale, rechtssichere Unterschriften
- ISMS-Management-Tools
- Schulungsplattform ETES Education
- Fazit
Dokumentation & Nachweisführung
Ticketsystem
In einem Ticketsystem werden alle eingehenden Anfragen und Probleme zentral erfasst und verwaltet. Dadurch können Aufgaben besser überwacht und verfolgt werden. Darüber hinaus können mit einem Ticketsystem Änderungen am ISMS erfasst, Änderungsprozesse dokumentiert und Freigaben für informationssicherheitsrelevante Systeme oder Prozesse fortlaufend nachgewiesen werden. Ein Ticketsystem unterstützt maßgeblich die technische Nachweisführung und Dokumentation. In einem Ticketsystem werden alle eingehenden Anfragen und Probleme zentral erfasst und verwaltet. Dadurch können Aufgaben besser überwacht und verfolgt werden. Darüber hinaus können mit einem Ticketsystem Änderungen am ISMS erfasst, Änderungsprozesse dokumentiert und Freigaben für informationssicherheitsrelevante Systeme oder Prozesse fortlaufend nachgewiesen werden. Ein Ticketsystem unterstützt maßgeblich die technische Nachweisführung und Dokumentation.
Dokumentenmanagementsystem
Durch die Verwendung eines Dokumentenmanagementsystems (DMS) können alle Schritte des Dokumentenlebenszyklus überwacht und kontrolliert werden. Dadurch kann verhindert werden, dass sensible oder vertrauliche Informationen in falsche Hände geraten. Ein DMS ermöglicht auch eine einfachere Verwaltung von Rechten und Rollen sowie eine verbesserte Nachvollziehbarkeit von Änderungen an Dokumenten. Durch ein revisionssicheres DMS können Daten nach einem Cyberangriff wiederhergestellt werden. Auch bei der Abbildung von Workflows bietet ein DMS viele Anwendungsmöglichkeiten und optimiert, strukturiert und digitalisiert Ihre innerbetrieblichen Abläufe.
Digitale, rechtssichere Unterschriften
Die Verwendung digitaler Signaturen kann sicherstellen, dass die Unterschrift einer Person ohne Papier oder physische Mittel verifiziert und authentifiziert wird. Hier gibt es unterschiedliche Anbieter. Hier vertrauen wir auf die Lösungen von unserem Partner FP sign. Die Lösung von FP Sign unterstützt uns mit einfachen Abwicklungsmechanismen bei der Versendung und der digitalen, rechtssicheren Unterzeichnung von Verträgen.
ISMS-Management-Tools
Um ein ISMS effizient und übersichtlich abzubilden, ermöglichen ISMS-Management-Tools eine strukturierte Verwaltung von Dokumenten, deren Kontrolle sowie Freigabeverfahren. Durch ihren Einsatz kann der Dokumentationsaufwand reduziert und die Genauigkeit der Dokumentation verbessert werden. Unsere ISMS Software EDIRA bietet die notwendigen Dokumente für ein wirksames ISMS. Durch Versionierung, Status und Freigabeprozesse kann das ISMS konform aufgebaut werden. Darüber hinaus können Risikoanalysen erstellt und interne Audits durchgeführt werden.
Bewusstseinsbildung: Mitarbeiter zur Informationssicherheit und zum Datenschutz schulen
Durch Schulungen wird das Bewusstsein für die Notwendigkeit der Umsetzung von Informationssicherheitsmaßnahmen und Datenschutzanforderungen geschärft. Schulungen dienen auch der Erfüllung gesetzlicher und/oder normativer Anforderungen. Rahmenwerke wie ISO 27001, TISAX®, IT-Grundschutz oder die NIS2-Richtlinie setzen die Schulung von Mitarbeitern in Informationssicherheit sogar zwingend voraus. Auch die DSGVO fordert die Schulung von Mitarbeitern. Mit ETES Education haben wir eine Schulungsplattform entwickelt, die beides erfüllt: ISMS und Datenschutz-Anforderungen.
Fazit
Unternehmensprozesse zu dokumentieren und erforderliche Nachweise vorzuhalten mag als zeitaufwendig und nervenraubend gesehen werden. Ein wirksames ISMS lebt jedoch von Planung, Umsetzung, Überwachung und sichtbarer, kontinuierlicher Verbesserung der Sicherheitsmaßnahmen. Mitarbeiter können durch die Dokumentation strukturiert Prozessen und Vorgaben nachgehen. So werden Fehler vermieden und die Organisation erreicht ein immer höheres Sicherheitsniveau. Diverse Werkzeuge unterstützen Mitarbeiter bei der Umsetzung der Sicherheitsmaßnahmen oder führen zur Automatisierung diverser Unternehmensprozesse und damit zu Kosten- und Zeitersparnissen.
Autoren
Markus Espenhain
Unser Geschäftsführer und Gründer ist für die Strategie und den Kontakt zu Kunden & Partnern verantwortlich. Im Blog stellt er Ihnen neue Partnerschaften und Unternehmens-News vor.
Ioannis Dimas
Datenschutz und Informationssicherheit sind seine Herzensangelegenheit. Er berät Unternehmen zu diesen Themen und kann viel dazu berichten.
Chantal Nußbaum
In den Bereichen Datenschutz und Informationssicherheit liegt ihr Schwerpunkt. Durch Fortbildungen ist sie immer auf dem neusten Stand der Gesetze.
Simon Jung
Planung, Realisierung, Wartung und Support sämtlicher Systeme Ihrer individuellen IT-Infrastruktur ist das Fachgebiet seines Teams.
Christian Gleich
Sein Schwerpunkt liegt in dem Kontakt zu Kunden. Durch seine tägliche Arbeit mit unserem gesamten Produktportfolio landen Neuigkeiten immer zuerst bei ihm.
