Informationssicherheitsmanagementsysteme (ISMS)

Ein Informationssicherheitsmanagementsystem, kurz ISMS, ist die Gesamtheit aus Richtlinien, Prozessen, Rollen und Maßnahmen, mit der eine Organisation festlegt, welche Informationen wovor und wie geschützt werden müssen, und anschließend prüft, ob diese Festlegungen tragen. Das entscheidende Wort ist Management. Ein ISMS ist kein Produkt, das man installiert, sondern eine Art, die Datensicherheit als dauerhafte Aufgabe zu führen, mit Verantwortlichen, Aufzeichnungen und regelmäßigen Überprüfungen.

Der internationale Bezugspunkt ist die Normenreihe ISO/IEC 27000. ISO/IEC 27001 legt die Anforderungen an ein ISMS fest und ist die Norm, nach der sich Organisationen zertifizieren lassen, während ISO/IEC 27002 einen Katalog von Sicherheitsmaßnahmen mit Umsetzungshinweisen bietet. Ziel ist der Schutz von Vertraulichkeit, Integrität und Verfügbarkeit von Informationen in jeder Form: Dateien, Datenbanken, Papier, sogar Gespräche.

Weil ein ISMS risikobasiert ist, können zwei Unternehmen dieselbe Norm mit sehr unterschiedlichen Maßnahmen erfüllen. Die Norm verlangt keine feste Einkaufsliste, sondern den Nachweis, dass Risiken erkannt, bewusst behandelt und erneut betrachtet wurden.

Ein ISMS arbeitet als Kreislauf, oft mit dem Plan-Do-Check-Act-Modell beschrieben, und nicht als einmaliges Projekt. Alles beginnt damit, zu wissen, was man hat: Ein aktuelles IT-Asset-Verzeichnis und ein funktionierendes Schema zur Datenklassifizierung zeigen, wo sich Maßnahmen lohnen. Die übliche Reihenfolge des Zyklus ist diese:

1. 1

   Geltungsbereich festlegen

   Legen Sie fest, welche Einheiten, Standorte, Systeme und Daten das ISMS abdeckt und wer ein Interesse daran hat: Kunden, Aufsichtsbehörden, Beschäftigte.

2. 2

   Risiken bewerten und behandeln

   Erfassen Sie Werte und Bedrohungen, bewerten Sie die Risiken und entscheiden Sie, ob jedes Risiko gemindert, vermieden, geteilt oder akzeptiert wird. Jedes Risiko hat einen Verantwortlichen und eine dokumentierte Entscheidung.

3. 3

   Maßnahmen auswählen und betreiben

   Wählen Sie Maßnahmen passend zu den Risiken, halten Sie Auswahl und Gründe in der Erklärung zur Anwendbarkeit fest und bringen Sie die Maßnahmen in den Alltagsbetrieb.

4. 4

   Messen und auditieren

   Verfolgen Sie die Wirksamkeit der Maßnahmen, führen Sie interne Audits und Managementbewertungen durch, damit die Leitung Ergebnisse sieht und nicht nur Richtlinien.

5. 5

   Verbessern

   Beheben Sie Abweichungen, lernen Sie aus Vorfällen und übernehmen Sie die Erkenntnisse in die nächste Risikobewertung.

Die Norm verlangt dokumentierte Informationen, doch Dokumente allein machen noch kein ISMS. Die meisten der folgenden Elemente dienen dem Nachweis, dass sich der Managementzyklus tatsächlich dreht:

Ein ISMS braucht Belege, dass Maßnahmen existieren und Änderungen daran nachvollziehbar sind. In Anexet Inventory listet die Karte eines Arbeitsplatzrechners die installierten Programme mit Version und Installationsdatum auf, das Rohmaterial für ein Asset-Verzeichnis. In der Administratorkonsole hält die Registerkarte Journal fest, wer welches Profil oder welche Regel wann geändert hat.

1 / 2

• 
• 

Für Einsteiger überraschend ist, wie wenig eines ISMS beim Sicherheitsteam liegt. Die Norm erwartet die Beteiligung der Leitung, und Risikoeigner sollen diejenigen sein, die den Geschäftsprozess tatsächlich verantworten. In der Praxis sehen die Rollen so aus:

ISO/IEC 27001 wird oft mit dem ISMS selbst verwechselt. Das ISMS ist das, was die Organisation betreibt, die Norm ist der Maßstab, und die Zertifizierung ist eine unabhängige Prüfung dieses Systems innerhalb eines erklärten Geltungsbereichs. Ein Zertifikat sagt also, dass das System im Geltungsbereich die Norm erfüllt. Es sagt nicht, dass das ganze Unternehmen sicher ist oder dass eine Datenpanne ausgeschlossen wäre.

Daneben stehen weitere Rahmenwerke. Das NIST Cybersecurity Framework und NIST SP 800-53 liefern Strukturen und Maßnahmenkataloge, SOC 2 ist ein Bestätigungsbericht eines Prüfers nach Kriterien für Dienstleister, und Gesetze wie die DSGVO und die EU-Richtlinie NIS2 verlangen angemessene Sicherheitsmaßnahmen, ohne ein ISMS vorzuschreiben. Ein funktionierendes ISMS macht diese Überschneidung günstiger, weil ein Risikoprozess und ein Nachweisbestand mehrere Anforderungen über das Compliance-Management bedienen. Es hilft, Sorgfalt nachzuweisen, ist aber allein noch keine rechtliche Konformität.

Die meisten ISMS-Programme geraten aus organisatorischen, nicht aus technischen Gründen ins Stocken. Typisch ist, zuerst ein Werkzeug zu kaufen, etwa ein DLP-System, bevor jemand aufgelistet hat, was geschützt werden muss, und den Papierkram erst danach zu schreiben. Die Muster wiederholen sich:

• Ein Geltungsbereich so eng, dass das Zertifikat wenig von dem abdeckt, was Kunden wichtig ist
• Ein aus einer Vorlage kopiertes Risikoregister ohne echte Verantwortliche
• Eine Erklärung zur Anwendbarkeit voller „nicht zutreffend“ ohne Begründung
• Richtlinien, die einmal geschrieben, nie gelesen und nie getestet werden
• Auditfeststellungen, die auf dem Papier geschlossen werden, ohne die Ursache zu beseitigen

Beginnen Sie klein und real: Wählen Sie einen Geltungsbereich, der für Kunden zählt, listen Sie seine Informationswerte und deren Eigner auf und bewerten Sie die wenigen Risiken, die am meisten schmerzen würden. Die Maßnahmen folgen danach in der Reihenfolge des Risikos, nicht in der Reihenfolge des Inhaltsverzeichnisses der Norm.

Lassen Sie die Systeme selbst die Nachweise erzeugen, etwa zeitgesteuerte Sicherheitsberichte und Änderungsprotokolle, statt in der Woche vor dem Audit Screenshots zu sammeln. Ein ISMS, das sich günstig betreiben lässt, überlebt sein zweites Jahr.