Wozu ein ISMS? – 4 Gründe für ein Information-Security-Management-System

Ob ein Unternehmen klein oder groß ist, macht keinen Unterschied bezüglich des übergeordneten Ziels und der Wichtigkeit eines ISMS. Es unterscheidet sich lediglich die Ausführung des jeweiligen ISMS, da die finanziellen und personellen Möglichkeiten ganz andere sind.

Ich habe 4 Gründe gesucht und gefunden, warum sich die Einführung eines Information-Security-Managements-Systems für Unternehmen, egal welcher Größe, lohnt.

Zuallererst: Was ist ein ISMS?

„Ein Information Security Management System (ISMS) definiert Regeln und Methoden, um die Informationssicherheit in einem Unternehmen oder in einer Organisation zu gewährleisten. Das ISMS ist prozessorientiert und verfolgt einen Top-Down-Ansatz ausgehend von der Unternehmensführung.“

– Security-Insider.de

Anhand dieser Definition wird bereits klar, dass es sich bei einem ISMS gar nicht um ein technisches System handelt. Ebenso lässt sich erkennen, dass der Einsatz eines ISMS bei der Geschäftsführung startet, nicht bei der IT.

Ein ISMS ist also ein System, das nicht technisch ist und auf Prozessen aufbaut. Und was ist ein Prozess? „Ein Prozess ist über eine gewisse Zeit sich erstreckender Vorgang, bei dem etwas entsteht oder abläuft.“

Wozu aber braucht es nun ein solches System?

Grund 1: Daten brauchen Schutz

Bei der Implementierung eines ISMS entstehen Dokumente und technische Verfahren, die alle einen Zweck haben: die Sicherheit Ihrer Informationen. Denn der Schutz aller Daten ist nicht nur Aufgabe des externen Datenschutzes, sondern auch der IT-Informationssicherheit.
Kurz gesagt: Nicht nur die Kundendaten, sondern auch interne Daten, wie Personaldaten, Informationen von und über technische Systeme sowie Datenbanken müssen hinsichtlich des Schutzes in Betracht gezogen werden.
Besonders Datenbanken sind kritische Systeme, die einen hohen Wert für viele Unternehmen haben.

Einen Hinweis auf die Wichtigkeit von Daten und deren Schutz bietet auch die weite Verbreitung des Begriffs „Data-Breach“. Bei diesem Angriff verschaffen sich Hacker unter anderem Zugang zu Firmendatenbanken und verteilen bzw. verkaufen die erbeuteten Daten in die weite Welt. Ihre Daten besitzen also nicht nur für Sie selbst einen großen Wert.

Grund 2: Ihre Investitionen sind jederzeit planbar

Zuzüglich zum prozessorientierten ISMS kann man natürlich ein elektronisches Tool zur Unterstützung der Prozesse einführen. Dies hilft vor allem der Geschäftsführung, Einsicht in das Projekt zu haben und die Maßnahmenumsetzung zu verfolgen. Die Berichterstattung ermöglicht es auch Prioritäten zu setzen und entsprechend die nötigen Investitionen zu planen und freizugeben.

Grund 3: Sie bauen Ihren Wettbewerbsvorteil aus

Ein weiterer Vorteil der Einführung eines ISMS ist der entstehende Wettbewerbsvorteil. Einem Unternehmen, das seine Nachhaltigkeit und Daten schützt, wird in der Regel eher vertraut, als einem, das dies nicht tut. Heutzutage ist die IT und deren Sicherheit nicht nur eine geschäftsunterstützende Abteilung, sondern auch ein strategischer Hebel, mit dem die Geschäftsführung die Entwicklung des Unternehmens steuern kann.

Ebenso wird im Bereich Einkauf immer öfter darauf bestanden, dass Lieferanten ein bestimmtes Niveau an IT-Informationssicherheit nachweisen können. Dies steht als einer der Grundsätze in der ISO-Zertifizierung 27001 (Siehe Lieferantenbeziehungen). Wer vorweisen kann, dass Informationssicherheitsmaßnahmen umgesetzt werden, hat seine Zukunft zum Teil schon gesichert.

Grund 4: Sie können Compliance-Richtlinien einhalten

Zuletzt ist die Compliance ein wichtiges Thema, da Nachweisbarkeit gegenüber Ämtern und Kunden vorhanden sein muss. Auch hierbei unterstützt ein ISMS. Die Vielfalt der Anforderungen kann für ein kleines Unternehmen, bzw. für nur eine Person (GF) überwältigend sein; daher empfehlen wir Spezialisten hinzuzuziehen, die sich mit den rechtlichen Vorgaben auskennen.

Fazit

Warum es wichtig ist, ein ISMS einzuführen, ist nun also klar.
Natürlich sollte man es nicht übertreiben. Jedes ISMS kann an die Größe und die Anforderungen eines Unternehmens angepasst werden, ansonsten wäre es überhaupt nicht tragbar. Etwas zu tun ist grundsätzlich besser als nichts zu tun, solange der Aufwand realistisch bleibt und sich lohnt. Auch für KMUs ist es sehr wichtig, das Thema IT-Sicherheit in den Alltag zu bringen, da ansonsten die Nachhaltigkeit des Unternehmens heutzutage nicht mehr gewährleistet ist.

Der allerwichtigste Bestandteil eines ISMS ist die Initiierung und die Unterstützung durch die Geschäftsführung. Natürlich können Geschäftsführer das Thema IT-Sicherheit auch ignorieren, nur wie lange geht das gut?

Bei Bedarf unterstützen wir Ihr Unternehmen dabei, Ihre IT-Sicherheit auf Vordermann zu bringen und eventuell ein ISMS einzuführen. Um dieses Ziel zu erreichen, setzen wir auf unsere Erfahrung und organisatorischen Kenntnisse der IT-Sicherheit sowie auf gewählte Partner für ISMS-Tools. Kontaktieren Sie uns!

Zum Autor

Daniela (ehemalige Mitarbeiterin)