Was ist ein Information Security Management System (ISMS)?

Ein ISMS gewährleistet, dass eigene Informationswerte (z.B. geistiges Eigentum, Personal- oder Finanzdaten) sowie von Kunden oder Dritten anvertraute Daten angemessen vor jeglichen Bedrohungen geschützt sind.

Indem Firmen Informationssicherheit mittels eines ISMS zum integralen Bestandteil ihrer Unternehmensprozesse machen, können sie ihr Sicherheitsniveau fortlaufend steigern und Informationssicherheitsrisiken minimieren. So wirken sie der Gefahr entgegen, dass Sicherheitsvorfälle die Business Continuity stören.

Insbesondere in hochregulierten Bereichen wie Finance oder kritische Infrastrukturen (KRITIS) gelten strenge Compliance-Vorgaben. Bei Verstößen gegen gesetzliche Regelungen und vertragliche Vereinbarungen drohen empfindliche Strafen. Mit einem ISMS stellen Unternehmen sicher, dass sie alle regulativen sowie vertraglichen Anforderungen erfüllen, was ihnen zugleich mehr Handlungs- und Rechtssicherheit beschert.

Durch eine Zertifizierung ihres ISMS können Unternehmen einen sicheren Umgang mit sensiblen Informationen gegenüber Dritten nachweisen. Das trägt zu einer besseren Außenwirkung und zur Vertrauensbildung bei, was wiederum einen Wettbewerbsvorteil bedeutet.

Die strukturierte Koordination und risikoorientierte Maßnahmenplanung in einem ISMS hilft, Prioritäten zu setzen, Ressourcen effizient zu nutzen und an den richtigen Stellen zu investieren. Nach anfänglichem Mehraufwand lassen sich die Kosten somit langfristig senken.

Zunächst gilt es zu klären, was das ISMS überhaupt leisten soll. Dazu muss die Unternehmensführung Anwendungsbereiche, Zielvorgaben und Grenzen des ISMS klar definieren.

Welche Werte (Assets) sollen durch das ISMS geschützt werden? Das können Informationen, Software, Services und physische Vermögenswerte wie Computer sein, aber auch Qualifikationen, Fähigkeiten und Erfahrungen von Mitarbeitern sowie andere immaterielle Werte wie Reputation und Ansehen. Hier geht es vor allem darum, geschäftskritische Assets zu ermitteln, von denen das Überleben des Unternehmens abhängt.

Für jedes schützenswerte Asset müssen mögliche Risiken identifiziert und anhand gesetzlicher Anforderungen oder Compliance-Richtlinien eingeordnet werden. Unternehmen sollten sich beispielsweise fragen, welche Auswirkungen durch die einzelnen Risiken entstehen, wenn Vertraulichkeit, Integrität und Verfügbarkeit verletzt werden, oder wie die Eintrittswahrscheinlichkeiten der Risiken sind. So gelangen sie am Ende zu einer Einschätzung, welche Risiken – etwa aufgrund der zu erwartenden Schadenshöhe – vertretbar sind und welche unbedingt adressiert werden müssen.

Auf Grundlage der vorherigen Risikobewertung sind anschließend geeignete technische und organisatorische Maßnahmen zur Risikominderung bzw. -vermeidung auszuwählen und umzusetzen. Dazu gehört auch, klare Zuständigkeiten und Verantwortlichkeiten zu definieren.

Die beschlossenen und umgesetzten Maßnahmen müssen durchgängig überwacht und regelmäßig auf ihre Wirksamkeit hin überprüft werden, beispielsweise durch Audits.

Hat die Überprüfung der eingeführten Maßnahmen Mängel ergeben oder wurden neue Risiken erkannt, muss der ISMS-Prozess erneut von Beginn an durchlaufen werden. So lässt sich das ISMS kontinuierlich an geänderte Rahmenbedingungen oder Anforderungen anpassen und damit die Informationssicherheit im Unternehmen fortlaufend verbessern.