IT Securtiy

• Es handelt sich um elektronisch gespeicherte Informationen und IT-Systeme
• Es geht nicht nur um den Schutz der technischen Verarbeitung, sondern auch um ein fehlerfreies Funktionieren und die Zuverlässigkeit der IT-Systeme.
• Es ist ein Teil der Informationssicherheit

• Zielt auf den Schutz von Informationen ab (analog und digital).
• Hiermit sind alle Informationen (mit und ohne Personenbezug) gemeint.
• Datensicherheit ist Teil der Informationssicherheit

• Bezeichnet den Schutz von Daten jeglicher Art (mit und ohne Personenbezug / digital oder analog)
• Die Daten müssen vor Manipulation, Verlust oder unberechtigter Kenntnisnahme geschützt werden.

• Es geht um den Schutz der Privatsphäre eines jeden Menschen (personenbezogene Daten)
• Jeder Mensch hat das Recht selbst zu bestimmen was mit seinen Daten geschieht sowie das Recht auf Schutz vor missbräuchlicher Verwendung der Daten
• Es wird also nachgefragt ob die Daten überhaupt verarbeitet werden dürfen.

• Vertraulichkeit - bedeutet, dass Daten nur befugten zugänglich zu machen sind
• Integrität - bedeutet, dass Daten/Systeme korrekt, unverändert und verlässlich sind
• Authenzität - bedeutet die Echtheit, Zuverlässigkeit und Glaubwürdigkeit einer Mitteilung
• Verfügbarkeit - bedeutet, dass Daten und IT-Systeme zur Verfügung stehen und von autorisierten Personen genutzt werden

• Alles, was für eine Organisation von Wert ist (materiell und immateriell)

• Ist eine Teilmenge an Wissen die ein Absender einem Empfänger mittels Signalen über ein bestimmtes Medium vermitteln kann.

• Bei einem Audit werden Arbeitsabläufe, Prozesse, Fertigungsverfahren, Richtlinien und Standards betrachtet.
• Ziel des Audits ist es, Verbesserungspotenziale und Abweichungen von den Vorgaben zu identifizieren.

• Risiken sind immer nur in direktem Zusammenhang mit der Planung eines Unternehmen zu interpretieren
• Mögliche Abweichungen von Zielen stellen Risiken dar – sowohl negative „Gefahren“ als auch positive Abweichungen „Chancen“

• Führen zu einem messbaren Vermögensschaden

• Hierbei handelt es sich um quantifizierbare Risiken wie Mitarbeiter- oder Kundenzufriedenheit

• 1st line of defence - Operatives Management hat Befugnisse Risiken zu bewerten, überwachen und minimieren
• 2nd line of defence - Interne Regelung und Aktivitäten bestimmter Abteilungen (z.B. It, Risiko Management)
• 3rd line of defence - Interne Audits und Überprüfungen

• Ist eine Person/Stelle mit der Verantworung und Befugnis hinsichtlich eines Risikos zu handeln

• Ist ein Faktor, der sich zusammensetzt aus der Möglichkeit des Eintritts eines Risikos und der zu erwartenden Schadenshöhe (Auswirkung) 

• Kundenanforderungen
• Aktionen der Wettbewerber
• Neue Ideen
• Interessen der Stakeholder
• Maschinendefekt
• Brandschäden

• Bedrohungskategorien
  • Hacking und Manipulation
  • Terroristische Akte
  • Naturgefahren
  • Identitätsmissbrauch
• Schwachstellenkategorie
  • Organisatorische Mängel
  • Technische Schwachstellen

• Risiken identifizieren
• Risiken analysieren
• Risiken bewerten
• Risiken steuern 
• Risiken berichten 

Alles steht im gegenseitigen Austausch mit "Risiken überwachen"

Die Organisaon muss ermieln, welche externen und internen Aspekte für ihren Zweck relevant sind und sich auf ihre Fähigkeit auswirken, die beabsichgten Ergebnisse ihres Informaonssicherheitsmanagementsystems zu erreichen.

• externe Themen
  • Marketinganalyse (Märkte, Zielgruppe, Mitbewerber)
  • PEST-Analyse (Political, Economical, Social, Technological)
• Interne Themen
  • Kernkompetenz
  • Portfolio
  • Kostenfaktor
  • Kundezufriedenheit

Interessierte Parteien und deren Forderungen ermitteln

• Extern
  • Kunde
  • Lieferant
  • Gläubiger
  • Staat
• Intern
  • Mitarbeiter
  • Manager
  • Eigentümer

• Anforderungen
  • Explizit
    • Angebot
    • Vertrag
    • Lastenheft
  • Implizit
    • Rechtlich normativ
    • stillschweigend vorausgesetzt

• Geltungsbereich festlegen, für wenn (welches Unternehmen, Abteilung, OrgEinheit) gilt das ISMS
• Schnittstellen und Abhängigkeiten definieren

• ISMS implementieren
• Prozesse implementieren
• Risikobetrachtung
• Verantwortung und Befugnisse definieren

Verantworlich für:

• Effektivität des ISMS
• Vermittlung der Bedeutung
• Auswahl, Anleitung, Unterstützung des ISM-relevanten Personals
• Ermittlung und Erfüllung der Kunden und rechtlichen Anforderungen
• Risikomanagement

• muss für relevante interessierte Parteien verfügbar sein
• muss strategische Ausrichtung unterstützen

• Oberste Leitung muss sicherstellen, dass eben diese zugewiesen, bekannt und verstanden sind
• Rolle hat: Aufgaben, Kompetenzen, Verantwortung

• Gefahren vermindern und Chancen verstärken
• Maßnahmen planen und Wirksamkeit bewerten
• Themen aus 4.1 und Anforderungen aus 4.2 berücksichtigen

• Detaillierte Angaben, wie Ziele erreicht werden sollen
• Planung von Ressourcen, Termin, Verantwortung, Bewertungskriterien und Verfahren
• Specific, Measurable, Accepted, Reasonable, Time-board

In diesem Schritt werden erforderliche Ressourcen ermittelt und bereitgestellt

• Ressourcen können sein: finanzielle, materielle, personelle und imaterielle Ressourcen
• Beschränkungen und Fähigkeiten der Ressourcen (auch zeitlich, Kapazitätsplanung!)

Wissen anwenden können

• Bedarf ermitteln
• angemessen schulen und ausbilden
• Wirksamkeit der Maßnahmen prüfen
• Kompetenznachweise sammeln

• Sensibilisierung für ISMS
• Mitarbeiter müssen Richtlinien kennen und anwenden
• Mitarbeiter müssen die Konsequenzen aus Nichteinhaltung kennen

• Interne und externe Kommunikation regeln
• Kommunikationsprozess festlegen

• Gefordert - Generell:
  • Was zur Unterstützung der Prozessdurchführung erforderlich ist
  • Was für die Wirksamkeit des ISMS als notwendig erachtet wird
• Spezifisch: Anwendungsbereich, Politik, Ziele, Entwicklungsaufzeichnungen, Aufzeichnungen zur Freigabe, Audits

• Einhaltung der Informationssicherheit
• Implementierung der festgelegten (6.1) Maßnahmen und erforderlichen Prozesse
• Prozesse zur Erreichung der Ziele (6.2) implementieren
• planmäßige Änderungen überwachen und Auswirkungen ungeplanter Änderungen prüfen inkl. Risikomanagement

• In geplanten Abständen oder bei einer Änderungen, muss eine Informationssicherheitsrisikobewertung vorgenommen werden