Informationssicherheit
für Behörden und Unternehmen

Cyberkriminalität und Wirtschaftsspionage sind eine ständige Gefahr. Die Informationssicherheit dient systemisch der Abwehr von wirtschaftlichen und persönlichen Schäden. Gefahren sollen erkannt und Risiken minimiert werden. Wenn man sich mit Informationssicherheit beschäftigt, entstehen Synergieeffekte für den Datenschutz.

Informationssicherheit
– Einordnung des Systems

Die Informationssicherheit ist der große Bruder des Datenschutzes. Letztlich versteht man unter der Informationssicherheit:

die Sicherstellung der Vertraulichkeit, Integrität und der Verfügbarkeit aller Informationen in Organisationen. Der Informationssicherheitsanspruch ist also allumfassend. Betroffen sind hier nicht nur Beschäftigten-, Kunden- oder Anwohnerdaten, sondern alle Daten Ihrer Behörde oder Unternehmung.

Je nach Art Ihrer Organisation gelten unterschiedliche Rahmenbedingungen, Normen und Standards. Gerade Betreiber sogenannter KRITIS-Einrichtungen unterliegen strengen Normen (BSI-KritisV, NIS, NIS-2 etc.).

Kommunen und Behörden sowie Nicht-KRITIS-Organisationen müssen sich jedoch auch – allein schon aus dem eigenen Interesse heraus – mit dem Thema Informationssicherheit beschäftigen. Nicht nur häufen sich die Nachrichten über illegale Informationsbeschaffungen und Datenlecks, auch legen die Gesetzgeber regelmäßig neue Richtlinien und Verordnungen fest. Es drohen empfindliche Sanktionen, sollte es zu meldepflichtigen Zwischenfällen kommen, bei welchen ein resilientes Informationssicherheitssystem geholfen hätte.

Wichtig ist die Umsetzung der Informationssicherheit auch für Organisationen, welche branchenbedingt zur Einhaltung von Prüfstandards und Normen (ISO 9001, ISO 27001, IDW PS 330 etc.) gezwungen sind.

Die Umsetzung der
Informationssicherheit

Die Informationssicherheit ist einzuhalten, wenn man KRITIS-Betreiber ist. Ist man kein KRITIS-Betreiber, ist es dennoch sehr hilfreich, zeitnah auch verpflichtend ein System für die Informationssicherheit (ISMS) einzuführen und weiterzuentwickeln. Die Sicherheit, also die Herstellung und die Aufrechterhaltung der Informationssicherheits-Schutzziele, ist genau dann von Wert, wenn man viele Informationen innerhalb der Organisation verarbeitet, die auch für unberechtigte Dritte zu einem hohen Gut werden können.

Für öffentliche und nicht öffentliche Einrichtungen heißt das: Die Sicherheit aller Informationen ist zu gewährleisten.

Notwendig sind dafür sogenannte Informationssicherheitsbeauftragte. Darunter versteht man qualifizierte Personen, die mit der Einrichtung, Pflege und Aufrechterhaltung eines Informationssicherheitsmanagement-Systems betraut werden können. Informationssicherheitsbeauftragte, kurz ISB, werden direkt der obersten Managementebene unterstellt.

Das gewährleistet, dass sich das Organisationsmanagement dem Thema Informationssicherheit verpflichtet und notwendige Ressourcen zur Verfügung stellt.

Für alle Mitarbeiter und berechtigten Interessengruppen fungieren Informationssicherheitsbeauftragte als zentrale Ansprechpersonen. Die Managementebene, beispielsweise die Hauptamtsleitung oder die Sachgebietsleiter, tragen weiterhin die Verantwortung für die Informationssicherheit. Die Informationssicherheit ist eine Team-Leistung, also eine gemeinsame Aufgabe aller Beschäftigten der Organisation.

Ferner empfiehlt es sich, ein Informationssicherheitsmanagement-Systems (ISMS) in Ihrer Organisation einzuführen. Die SuS data shield kann Sie hier federführend unterstützen.

Jetzt Zusammenarbeit anfragen

Umgang mit
Informationssicherheitsbeauftragten

Grundsätzlich können alle Personen, die ein gesteigertes Interesse und Kenntnisse in der IT-Sicherheit haben, Informationssicherheitsbeauftragter werden. Es sollten Zertifikatslehrgänge und regelmäßig Schulungen in den Bereichen IT-Sicherheit und Sicherheitsnormen (z. B. nach DIN-EN-ISO 27001) besucht werden.

Die Bestellung eines Informationssicherheitsbeauftragten geht üblicherweise einher, mit dem Wunsch nach der Einführung der Informationssicherheit. Manchmal geschieht dies auch durch den Druck von außen. Kommt die initiale Idee nach der Einführung eines Prüfstandards in Ihrer Organisation von Ihnen, dann setzen Sie sich auseinander mit den verschiedenen Standards. Ihr Informationssicherheitsbeauftragter kann Sie diesbezüglich beraten. Es gibt viele Standards.

Smarte Lösung: Wenn Sie einen Standard umsetzen wollen, gehen Sie Schritt für Schritt vor. Suchen Sie beispielsweise nicht nach der umfangreichsten, sondern nach der für Sie passenden Norm.

Ressourcen
Zur Bewältigung der Tätigkeiten rund um die Informationssicherheit, müssen Ressourcen zur Verfügung gestellt werden. Dies können Zeit, Personal aber auch Ressourcen für die Umsetzung technischer Maßnahmen sein.
Weisungen
Es muss beachtet werden, dass Informationssicherheitsbeauftragte keine Weisungen annehmen sollten. Es gilt stets die Weisungsfreiheit. Dies hängt mit der Vermeidung von Interessenkonflikten zusammen.

Beratung
Informationssicherheitsbeauftragte sind Berater. Die Hauptarbeit liegt bedingt durch Normen häufig bei der Organisation selbst. Informationssicherheitsbeauftragte können jedoch auch viele Dokumentationen vorbereiten und ausrollen. Dies kann so umgesetzt werden, wenn die verantwortliche Stelle die Dokumentationen und Vorgaben bestätigt und freigegeben hat. Zur Beratung kann also auch eine operative Komponente mit hinzukommen.
Schulung
Beschäftigte Personen müssen geschult und sensibilisiert werden. Es gilt zu beachten, dass dies nicht nur einmal passieren sollte. Sensibilisierungen können auf unterschiedlichen Ebenen umgesetzt werden.
Verantwortung
Die Verantwortung für die Umsetzung des Informationssicherheitssicherheitssystems trägt stets die verantwortliche Stelle. Durch die Beauftragung eines Informationssicherheitsbeauftragten entsteht also keine Haftungsübernahme durch den Informationssicherheitsbeauftragten.
Einstellung & Zeit
Die Einführung eines Informationssicherheitsmanagement-Systems verlangt der verantwortlichen Stelle den Willen zur Auseinandersetzung mit riskanten Verfahren oder Techniken ab. Die innere Einstellung zur Informationssicherheit sollte angemessen sein. Was auch mitgebracht werden muss, ist Zeit. Als ihr Informationssicherheitsbeauftragter kann ich viel operativ selbst tun. Kontrollieren müssen Sie dennoch.