It Sicherheitskonzept

Auch in IT-technisch gut positionierten Firmen stellt sich die Frage, ob das bisher verwendete Konzept des Informationssicherheitsmanagementsystems (ISMS) noch zeitgemäß ist oder bei Bedarf weiterverfolgt werden kann. Daher bin ich nicht wirklich dazu bestimmt und möglicherweise auch nicht in der Lage, Ihnen Anweisungen und Tipps zur Erstellung eines IT-Sicherheitskonzepts zu erteilen.

Dass IT-Sicherheitskonzepte von Ingenieuren entwickelt werden, hat sicherlich einen guten Grund, oder? Man muss die besten Antworten geben, um bessere Ergebnisse zu erzielen. Wenn Sie und wir das Bestreben haben, IT-Sicherheit im Betrieb einfacher und effektiver als bisher zu implementieren, dann ist es auch für Laien möglich, Rückfragen zu richten.

Wenn zum Beispiel ein Kollege bei der Arbeit oder, noch besser, Ihr Partner nachfragt, warum Sie es nicht gleich "so und so" machen, sieht man plötzlich ein Leuchten und der Cent geht auf Sie über.... die Sache war viel leichter, als Sie gedacht haben. Bei genauerem Hinsehen können wir erkennen, dass es sich nicht nur um ein rein fachliches Problem handelt.

Selbst wenn die Umsetzung eines IT-Sicherheitskonzeptes in erster Linie ein technologieorientiertes Themenfeld ist, sind die Hauptmotive für die Erarbeitung eines IT-Sicherheitskonzeptes die rechtliche Sicherheit und vor allem die Minimierung und Minimierung von Risiken. In diesem Jahr wurde erstmals das "backUP - Magazine for IT Security" im ULD publiziert.

In der ersten Nummer, die in ihren Grundzügen immer noch erfolgreich und zeitgemäß ist, wurde das Themenfeld "IT-Sicherheitskonzepte - Planen, Gestalten und Umsetzen" recht ausführlich und vor allem nachvollziehbar behandelt. Ich habe zum ersten Mal wirklich begriffen, wie ein solches IT-Sicherheitskonzept entsteht und was zu beachten ist.

Nachdem ich seit Anbeginn meiner juristischen Laufbahn vorwiegend im IT-Recht und jetzt nur noch im Datenschutz- (und IT-Sicherheitsrecht) gearbeitet habe, habe ich seither eine Reihe von IT-Sicherheitskonzepten eingesehen, untersucht und bewertet. Ich habe öfter festgestellt, dass es keine IT-Sicherheitskonzepte gibt, obwohl wir das hätten voraussehen können. Auch bei datenschutzrechtlichen Gütesiegeln wie dem Prüfsiegel für IT-Produkte des ULD oder dem European Privacy Seal (EuroPriSe) sind wir Experten mitunter überrascht, dass auch datenschutzrelevante Firmen ihre Aufgaben im Informationssicherheitsbereich nicht erfüllt haben und z.B. IT-Sicherheitskonzepte ausfallen.

Ich möchte mit dem Newsletter "So erstellen Sie ein IT-Sicherheitskonzept " insbesondere kleinen und mittleren Firmen ein Verständnis für dieses Problem vermitteln und sie in die Lage versetzen, mit berechtigtem Einsatz ein geeignetes IT-Sicherheitskonzept für ihr Haus zu entwerfen und, wenn möglich, zu unterhalten. Ich hatte die Überlegung, nachdem ich kürzlich eine Fortbildung für mittelständische Firmen in Berlin abgehalten hatte, die das Problem der IT-Sicherheitskonzepte im Bereich des Datenschutzes in Betrieben aufklären sollte.

Als ich am Ende des ersten Veranstaltungstages in die Köpfe der Seminarteilnehmer blickte, wurde mir klar, dass sie wohl nie die Zeit und die Mittel hätten, in ihren kleinen Betrieben ein IT-Sicherheitskonzept nach BSI-Standards zu entwickeln. Noch wichtiger finde ich jedoch, dass ein IT-Sicherheitskonzept, das dem BSI Standard folgt, sehr oft weniger sinnvoll ist als ein kohärent formuliertes - selbst gestricktes - IT-Sicherheitskonzept, sofern es bestimmten Anforderungen genügt.

Ich hatte die Absicht, den BSI-Standard als Basis für die essentiellen Inhalte eines IT-Sicherheitskonzeptes zu verwenden, aber die Content-Spezifikationen für die Erarbeitung eines IT-Sicherheitskonzeptes aus dem oben genannten backUP-Magazin des ULD als Basis zu verwenden. Daraus ergibt sich für mich folgende Struktur des IT-Sicherheitskonzepts: Jedes einzelne Unter-nehmen benötigt eine IT-Richtlinie, die grundsätzliche Richtlinien für den Einsatz von IT-Systemen und -Anwendungen beinhaltet und sich an die Anwender - in der Regel an die Beschäftigten - wendet.

IT-Sicherheitskonzept, das die grundsätzlichen fachlichen und organisatorischen Massnahmen im Betrieb zur Sicherstellung des Datenschutzes und der Sicherheit der Daten nachvollziehbar wiedergibt. Neben dem IT-Sicherheitskonzept wird für jedes einzelne Institut eine Liste der nach § 9 BDSG relevanten fachlichen und organisatorischen Massnahmen erstellt. Es gibt im Netz eine Vielzahl von Vorlagen für IT-Richtlinien, EDV-Benutzerrichtlinien oder ähnliches, die sich damit befassen, dass ein Betrieb (oder eine Behörde ) Richtlinien für die Nutzer von IT-Systemen und -Anwendungen im Zusammenhang mit diesen Mitteln festlegt.

Ich habe für meine Seminar-Teilnehmer lediglich ein eigenes Papier geschaffen, das der Art und Weise folgt, wie ich mir eine IT-Richtlinie für ein kleines oder mittleres Unternhemen generell ansehe. Das ist nur ein kleiner Tipp, und ich bin sicher, du kannst es besser als ich. Sie wissen, wie das ist.... oft ist es nur nützlich, ein Schema zu haben, das uns hilft, unseren eigenen Weg zu einem noch besserem Papier zu gehen.

Also.... warum fängst du nicht an, deine eigene IT-Richtlinie zu verfassen? Wer jedoch lieber auf der sicheren Seite ist, sollte den BSI-Standard ("Basisschutz") verwenden. Der BSI-Standard 100-1 beschreibt die allgemeinen Forderungen an Informationssicherheitsmanagementsysteme. Als eigentliches "Brot und Butter"-Dokument dient dann der BSI Standard 100-2, der erklärt, wie die statische Analyse der IT-Systeme, Applikationen, Räume und Netzwerkkomponenten durchgeführt wird und wie Sie dann aus den IT-Grundschutzkatalogen/Modulen die Schutzanforderungen und die Gefährdungsermittlung sowie die zu ergreifenden Massnahmen ermitteln können.

Bei vielen Firmen ist dies jedoch noch etwas kompliziert und daher vielleicht nicht die gängigste Variante. Die Reihe zur Erarbeitung eines Sicherheitskonzeptes finden Sie hier: