Informationssicherheitsprozess
Der Informationssicherheitsprozess ist kein einmaliges Projekt, sondern ein kontinuierlicher Kreislauf, um die IT-Sicherheit in Ihrem Unternehmen dauerhaft zu gewährleisten und zu verbessern. Ohne diesen Prozess veralten Schutzmaßnahmen und werden wirkungslos. Die Geschäftsleitung muss diesen Prozess anstoßen und unterstützen.
Genauer erklärt
Der Informationssicherheitsprozess ist das systematische und wiederkehrende Vorgehen zum Aufbau und zur Aufrechterhaltung eines Informationssicherheitsmanagementsystems (ISMS). Er stellt sicher, dass Informationssicherheit als kontinuierlicher Managementzyklus und nicht als abgeschlossenes Projekt verstanden wird. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) orientiert sich hierbei am etablierten PDCA-Zyklus (Plan-Do-Check-Act).
- Plan (Planen): In dieser Phase legt die Leitungsebene die Sicherheitsziele und die strategische Ausrichtung in einer Leitlinie fest. Es folgt eine Analyse der Anforderungen, zum Beispiel durch einen Soll-Ist-Vergleich der bestehenden Maßnahmen mit den Anforderungen aus dem IT-Grundschutz-Kompendium.
- Do (Umsetzen): Die in der Planungsphase konzipierten Sicherheitsmaßnahmen werden implementiert.
- Check (Überprüfen): Die Wirksamkeit der umgesetzten Maßnahmen wird regelmäßig kontrolliert, etwa durch Audits oder die Auswertung von Protokolldaten. Es wird geprüft, ob die definierten Sicherheitsziele erreicht werden.
- Act (Anpassen): Basierend auf den Ergebnissen der Überprüfung werden Korrektur- und Verbesserungsmaßnahmen eingeleitet. Der Prozess und die Maßnahmen werden an neue Bedrohungen oder geänderte Rahmenbedingungen angepasst, wodurch der Zyklus von Neuem beginnt.