Informationssicherheit

Informationssicherheit spielt in deutschen Unternehmen immer noch häufig eine untergeordnete Rolle. Viele Firmen vernachlässigen Aspekte wie Systemmissbrauch, Datensicherheit, Sabotage oder Spionage. Durch die NSA-Affäre hat dieses Thema jedoch stark an Sichtbarkeit gewonnen. Der Gesetzgeber schreibt unterschiedliche Vorgehensweisen zur Gewährleistung der Informationssicherheit vor mit dem Ziel, dass Unternehmen dafür zu sorgen haben, dass ihre informationsverarbeitenden Systeme so geschützt sind, dass keinerlei Informationen in falsche Hände geraten können.

Die Nicht-Umsetzung von Informationssicherheitsrichtlinien kann gravierende Folgen für ein Unternehmen bis hin zur Insolvenz haben. Wer Daten, Informationen und Systeme nicht schützt, verstößt grundsätzlich gegen bestehendes Recht und muss mit entsprechenden Sanktionen rechnen. Darüber hinaus passiert es oftmals, dass Unternehmen Teile ihres Intellectual Property, also das Wissen des Unternehmens, an Wettbewerber verlieren. Im Übrigen zeigen weder Kunden als auch Lieferanten Begeisterung darüber, dass auch ihre Informationen für andere frei verfügbar sind.

Grundsätzlich ist jeder Lieferant für die Sicherheit der von seinem Auftraggeber mitgeteilten Informationen verantwortlich. Häufig reicht es dem Vertragspartner dabei nicht aus, dass ihm die Einhaltung der Verschwiegenheit über Geschäfts- und Betriebsgeheimnisse vertraglich versichert wird. Externe Bedrohungen, wie z.B. Hackerangriffe, Cyberattacken, Spionage etc. bleiben von einer lediglich „internen Zusicherung" unberücksichtigt. Letztlich geht es aber um die Sicherstellung von Schutzzielen der Informationssicherheit wie z.B. Verfügbarkeit, Vertraulichkeit und Integrität von Informationen.

Seitens der Großunternehmen gibt es daher Bestrebungen, nur noch mit den Zulieferfirmen zusammenarbeiten zu wollen, die über ein Informationssicherheitsmanagementsystem (ISMS) verfügen. Ein entsprechender Nachweis kann zwar ohne weiteres durch eine Zertifizierung nach ISO 27001 erbracht werden. Jedoch ist zum Erhalt der Zertifizierung häufig ein lang andauernder und kostenintensiver Prozess der Entwicklung und Umsetzung von Maßnahmen erforderlich. Als mögliche angemessene Zwischenlösung zum Weg zu einer Zertifizierung hat daher in der Automobilbranche der VDA-Arbeitskreis „Integraler Informationsschutz mit IT-Sicherheit, Prototypenschutz und Risk-Management" einen Fragenkatalog zur Informationssicherheit mit integriertem Prozessreifegradmodell „Information Security Assessment" entwickelt. Darin finden die Standards der ISO 27001 und deren Abbildung in den BSI-IT Grundschutz Anwendung.

Für alle anderen Branchen existiert der branchenunabhängige Fragenkatalog ISA (InformationsSicherheits-Assessment), ebenfalls auf Basis der ISO 27001 und des BSI-IT Grundschutz. Damit kann auf der Grundlage eines standardisierten Fragekatalogs das aktuelle Sicherheitsniveau jedes Unternehmens, unabhängig welcher Branche, ermittelt und im Rahmen einer Selbstauskunft zur Informationssicherheit prüf- und vergleichbar abgebildet werden, ohne dass zum jetzigen Zeitpunkt die gesamte Zertifizierung nach ISO 27001 durchlaufen werden muss.

Weitere Informationen stellen wir Ihnen gerne gegen eine Schutzgebühr zur Verfügung:

Standards der INFORMATIONSSICHERHEIT für beliebige Branchen
Standards der INFORMATIONSSICHERHEIT für die Automobilindustrie