IT Securtiy

• Leistung des ISMS und Wirksamkeit auswerten
• Folgendes ermitteln:
  • notwendige zu überwachende und zu messende Aspekte
  • Mess- und Überwachungsprozesse und Maßnahmen
  • Methoden
  • Zeitpunkt
  • Zuständige Person
• Die Organisation muss angemessene dokumentierte Informationen zum Nachweise der Überwachungs- und Messergebnisse aufbewahren

• werden in geplanten Abständen intern durchgeführt
• Ziel:
  • Konformität mit Anforderungen
  • Effektive Implementierung und Aufrechterhaltung prüfen
  • Planung, Festlegung, Implementierung eines Auditprogramms

• Pflicht der obersten Leitung
• in planmäßigen Abständen
• berücksichtigt folgende Aspekte:
  • Maßnahmen aus vorangegangenen Management Reviews
  • Veränderungen von externen und internen Vorgängen
  • Umgang mit Fehlern und deren Korrekturmaßnahmen
  • vorgang mit Auditergebnissen
  • Status zu Informationssicherheitszielen
  • Ergebnisse der Management Reviews müssen Entscheidungen enthalten

• Umgang mit Fehlern regeln/reagieren
• mit Auswirkungen von Fehlern auseinandersetzen
• Fehler beseitigen
• Korrekturmaßnahmen bewerten, Wirksamkeit prüfen
• Dokumentieren

Das Unternehmen muss sein ISMS laufend verbessern, d.h es muss auch zukünftig geeignet, angemessen und wirksam sein

muss:

• festgelegt und genehmigt werden
• für alle zugänglich sein
• regelmäßig und zu Änderungen überprüft werden
• auf Angemessenheit und Wirksamkeit überprüft werden

• Zuständigkeiten festlegen
• Rollen, Befugnisse und Verantwortlichkeiten festlegen und kommunizieren
• Getrennte Verantwortlichkeiten festlegen

• Schulungsbedarf muss ermittelt werden
• sensibilisierung für ISM
• Schuldung entsprechend ihrer Rollen

• Maßregelungsprozess für ISM-Verstöße
• Verantwortungen und Pflichten auch nach dem Arbeitsende hinaus müssen definiert, überwacht und durchgesetzt werden

• Assets müssen ermittelt werden
• Regeln für gebrauch und rückgabe
• Klassifizierungsschema für Informationen entwickeln und implementieren
• Informationen auf Medien müssen vor Zugriff geschützt werden

• Benutzer dürfen nur auf die Netzwerke Zugriff haben für die sie autorisiert sind
• Asset Owner müssen regelmäßig Zugriffsberechtigungen prüfen
  • Anpassung bei Änderungen
• Sicheres Anmeldeverfahren/Passwort

• Schutzkonzept und Sicherheitszone muss festgelegt werden
• Sicherheitsbereiche müssen durch angemessene Zugriffsüberwachung geschützt werden
• Es müssen Schutzvorkehrungen gegen Naturkatastrophen, vorsätzliche Angriffe oder Unfälle getoffen werden

• Betriebsverfahren müssen dokumentiert und für alle Benutzer zugänglich sein
• Es müssen Schutzmaßnahmen gegen Malware getroffen werden
• Es muss eine Backup policy erstellt werden
• Es sind Ereignissprotokolle anzufertigen, aufzubewahren und regelmäßig zu prüfen
• Logging der Aktivitäten der Benutzer, Ausnahmen, Fehler und security incidents
• Ein Patchmanagement einführen

• Ist die Politik und Verfahren für die Informationsübertragung
• Netzwerke müssen verwaltet und überwacht werden

• Es sollten Regeln für die Entwicklung von Software und Systemen festgelegt und angewandt werden

• Es sind Informationssicherheitsanforderungen mit dem Zugriff von Lieferanten auf Assets zu vereinbaren und zu dokumentieren.

• Verantwortlichkeiten und Verfahren für das Managen von Security Incidents sind fetszulegen

• Es muss ein Notfallmanagement festgelegt werden
• Es muss immer ein erforderliches Maß an Kontinuität der Informationssicherheit in schwierigen Situationen sichergestellt sein

• Alle gesetzlichen, amtlichen, vertraglichen Anforderungen müssen ermittelt und dokumentiert werden.

• Plan - Kontext der Organisation:
• Plan - Führung
• Plan - Planung
• Plan - Unterstützung
• Do - Betrieb
• Check - Bewertung der Leistung
• Act - Verbesserung

• Schäden und Auswirkungen
• Ereignisse und Vorfälle
• Auditberichte
• Ideen und Vorschläge

Neue und bestehende Gesetze, Kundenanforderungen, Technologien, Bedrohungen

• Anfangs haben wir eigene Normen und Standards, die durch einen (KVP) Kontinuierlichen Verbesserungsprozess (Plan, Do, Check, Act) die Rahmenbedingungen (Sozial und Technisch) hin zur ISO 27001 verbessern.

• Gesetzliche Vorgaben werden eingehalten z.B. DSGVO
• Mehr Vertrauen des Kunden 
• Organisiert die Informationen im Unternehmen
• Sicherheit, Geheimnisse bewahren
• Kundenanforderungen
• Strukturierte Prozesse und Abläufe
• Wissensvorsprung ist ein Wettbewerbsvorteil

• Es ist ein "Rezeptbuch" für die wichtigsten Vorgaben, Technologien, Prozesse der IT-Sicherheit
• Es handelt sich hierbei um geprüfte Standards
• Ist ein Modell für ein sicheres Informationsmanagement
• Spezifiziert die Anforderungen eines ISM unter Berücksichtigung der Risiken eines Unternehmens

• Es handelt sich um elektronisch gespeicherte Informationen und IT-Systeme
• Es geht nicht nur um den Schutz der technischen Verarbeitung, sondern auch um ein fehlerfreies Funktionieren und die Zuverlässigkeit der IT-Systeme.
• Es ist ein Teil der Informationssicherheit

• Zielt auf den Schutz von Informationen ab (analog und digital).
• Hiermit sind alle Informationen (mit und ohne Personenbezug) gemeint.
• Datensicherheit ist Teil der Informationssicherheit

• Bezeichnet den Schutz von Daten jeglicher Art (mit und ohne Personenbezug / digital oder analog)
• Die Daten müssen vor Manipulation, Verlust oder unberechtigter Kenntnisnahme geschützt werden.

• Es geht um den Schutz der Privatsphäre eines jeden Menschen (personenbezogene Daten)
• Jeder Mensch hat das Recht selbst zu bestimmen was mit seinen Daten geschieht sowie das Recht auf Schutz vor missbräuchlicher Verwendung der Daten
• Es wird also nachgefragt ob die Daten überhaupt verarbeitet werden dürfen.

• Vertraulichkeit - bedeutet, dass Daten nur befugten zugänglich zu machen sind
• Integrität - bedeutet, dass Daten/Systeme korrekt, unverändert und verlässlich sind
• Authenzität - bedeutet die Echtheit, Zuverlässigkeit und Glaubwürdigkeit einer Mitteilung
• Verfügbarkeit - bedeutet, dass Daten und IT-Systeme zur Verfügung stehen und von autorisierten Personen genutzt werden

• Alles, was für eine Organisation von Wert ist (materiell und immateriell)

• Ist eine Teilmenge an Wissen die ein Absender einem Empfänger mittels Signalen über ein bestimmtes Medium vermitteln kann.

• Bei einem Audit werden Arbeitsabläufe, Prozesse, Fertigungsverfahren, Richtlinien und Standards betrachtet.
• Ziel des Audits ist es, Verbesserungspotenziale und Abweichungen von den Vorgaben zu identifizieren.

• Risiken sind immer nur in direktem Zusammenhang mit der Planung eines Unternehmen zu interpretieren
• Mögliche Abweichungen von Zielen stellen Risiken dar – sowohl negative „Gefahren“ als auch positive Abweichungen „Chancen“

• Führen zu einem messbaren Vermögensschaden

• Hierbei handelt es sich um quantifizierbare Risiken wie Mitarbeiter- oder Kundenzufriedenheit

• 1st line of defence - Operatives Management hat Befugnisse Risiken zu bewerten, überwachen und minimieren
• 2nd line of defence - Interne Regelung und Aktivitäten bestimmter Abteilungen (z.B. It, Risiko Management)
• 3rd line of defence - Interne Audits und Überprüfungen

• Ist eine Person/Stelle mit der Verantworung und Befugnis hinsichtlich eines Risikos zu handeln

• Ist ein Faktor, der sich zusammensetzt aus der Möglichkeit des Eintritts eines Risikos und der zu erwartenden Schadenshöhe (Auswirkung)