PSL ISMS Aufbau und Pflege

Einleitung

„Nur wenn Informationssicherheit in den strategischen Zielen einer Organisation verankert ist, kann Informationssicherheit nachhaltig in einer Organisation umgesetzt werden. Das Informationssicherheitsmanagementsystem (ISMS) ist ein Steuerungsinstrument für die Organisationsleitung, mit dem sie sicherstellt, dass Informationssicherheit nicht nur ein Ergebnis von Zufällen und individuellem Engagement, sondern von nachhaltigem Management ist.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Informationssicherheit und Datenschutz haben für die Parasol Island GmbH einen sehr hohen Stellenwert. Daher führt die Parasol Island ein Managementsystem, das den Umgang mit Informationen und den Schutz von Daten regelt. Basierend auf der Informationssicherheitsleitlinie dient diese Richtlinie zur Beschreibung dieses Managementsystems. Da Datenschutz ein Teil von Informationssicherheit ist, wird dieses Managementsystem im Folgenden als Informationssicherheitsmanagementsystem (kurz: ISMS) bezeichnet.

Beim Umgang mit Informationen und dem ISMS sind neben einschlägigen Gesetzen und Vorschriften auch Normen, Vereinbarungen und Verträge einzuhalten. Dazu gehören unter anderem die

• DSGVO und das BDSG,
• Urhebergesetze,
• Arbeitnehmer-Vertretungsregelungen,
• Brandschutzvorschriften,
• Verträge mit Kunden oder Partnern,
• Aufbewahrungsfristen für Unterlagen,
• Vorgaben durch die ISO 27001 oder durch die TISAX-Zertifizierung.

Das Management System der Parasol Island GmbH setzt diese Anforderungen in konkrete Richtlinien und Arbeitsanweisungen um. Ziel des ISMS ist es die Sicherheit der Daten und Informationen zu maximieren und das Risiko eines Verlusts oder der Kompromittierung zu minimieren.

Geltungsbereich des ISMS

Das ISMS gilt für die gesamte Parasol Island GmbH. Dies schließt nicht nur interne Mitarbeiter an allen Standorten mit ein, sondern auch externe Mitarbeiter, Dienstleister und weitere Stakeholder. Diese sind über die sie betreffenden Regelungen bzgl. der Informationssicherheit ausreichend zu informieren.

Organisation, Rollen und Verantwortlichkeiten

„Ein erfolgreiches ISMS benötigt klare Verantwortlichkeiten in der Organisation.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Im Folgenden wird die Organisation der Parasol Island beschrieben. Dabei wird insbesondere darauf eingegangen, welche Rolle welche Funktion in Bezug auf das Informationssicherheitssystem hat. Neben der Unternehmensstruktur hat die Parasol Island auch im Projektgeschäft die hierarchische Unterscheidung zwischen Projektleiter und Projektmitgliedern. Dazu kommen Rollen, die sich durch das ISMS ergeben wie z.B. der Informationssicherheitsbeauftragte oder den Risikoeignern. Diese Übersicht ergänzt die Beschreibung aus der Informationssicherheitsleitlinie (siehe (ISMS, 01_00)).

Unternehmensstruktur

Die Parasol Island ist ein hierarchisch strukturiertes Unternehmen, in dem der Geschäftsführung die Abteilungsleiter unterstehen, die wiederum für alle übrigen Mitarbeiter verantwortlich sind.

Geschäftsführung

Die Geschäftsführung ist verantwortlich für die Informationssicherheit der Parasol Island. Für die Informationssicherheit ist insbesondere Philip Hansen Hauptansprechpartner.

Abteilungsleiter

Die Abteilungsleiter unterstützen den ISB beim Erarbeiten der Richtlinien, indem sie die Machbarkeit der Anforderungen unter dem Ziel der Informationssicherheit mit ihm erörtern. Daraus folgt eine konkrete Ausarbeitung in Form einer Arbeitsanweisung und die regelmäßige Kontrolle über die Einhaltung.

IT-Administratoren

Informationssicherheit umfasst auch die Sicherheit der betriebenen Informationstechnik. Daher kommt den IT-Administratoren eine besondere Rolle zu. Zum einen unterstützen und beraten sie die Mitarbeiter bei ihren alltäglichen Problemen und Herausforderungen mit der Informationstechnik, zum anderen sind sie für den Betrieb und das Installieren der organisationsweiten IT-Dienste zuständig. Damit liegt der Hauptteil der technischen Maßnahmen bezüglich der Informationssicherheit in ihrer Verantwortung.

Mitarbeiter

Jeder einzelne Mitarbeiter der Parasol Island ist an die Regelungen des ISMS gebunden und sollte sich jederzeit seiner Verantwortung für die Informationssicherheit und den Datenschutz bewusst sein.

Projektrollen

Auch innerhalb von Projekten gibt es eine Hierarchie zwischen den Projektleitern und den einzelnen Projektmitgliedern. Wichtig in den Projekten sind nicht nur die internen Regelungen der Parasol Island, sondern auch eventuelle individuell mit den Kunden abgesprochene Regelungen.

Produktion / Projektleitung

Die Produktion trägt dafür Sorge, dass die Abwicklung eines Projekts unter Einhaltung der Sicherheitsziele abläuft. Der Producer bewertet externe Dienstleister und Kunden schon vor dem Vertragsabschluss auf ihre Sicherheit. Eintreffende Informationen und Daten werden von ihm anhand der Sicherheitsstufen klassifiziert und zur Weiterverarbeitung an die berechtigten Mitarbeiter weitergereicht. Eine Risikobewertung ist in einer frühen Projektphase durchzuführen.

Projektmitglied

Da sich jedes Projekt in den Anforderungen an die Informationssicherheit unterscheiden kann, ist es wichtig, dass diese jedem Projektmitglied bekannt sind.

Informationssicherheitsrollen

Die Führung eines ISMS bringt weitere Rollen mit sich, die in diesem Abschnitt beschrieben werden.

Informationssicherheitsbeauftragter

Der Informationssicherheitsbeauftragte ist für die Pflege und Weiterentwicklung der Sicherheitsrichtlinien zuständig. Er arbeitet zusammen mit leitenden Angestellten der verschiedenen Abteilungen Maßnahmen und Möglichkeiten aus, um die Sicherheit stetig zu verbessern.

Er definiert und kontrolliert die Sicherheitszonen innerhalb der Geschäftsräume und er definiert und kontrolliert ebenso den gesicherten Transport von Gütern und Medien, die in das Betriebsgelände eingebracht oder hinaus transportiert werden.

Der ISB führt jährlich oder nach größeren Änderungen Mitarbeiterschulungen durch und ist dafür zuständig, dass neue Mitarbeiter in die Informationssicherheitsleitlinie durch ihn oder einen seiner Stellvertreter eingeführt werden.

Der ISB ist zur Erreichung der Informationssicherheitsziele in alle IT-Projekte frühzeitig einzubeziehen. Wenn Projektziele den Sicherheitsanforderungen entgegenstehen, obliegt der Geschäftsleitung die Entscheidung, welche Anforderungen eine höhere Priorität haben.

Sicherheitsereignisse und Auffälligkeiten werden in einem Logbuch vermerkt und ausgewertet. Bei akuter Gefährdungslage oder bei Verstößen gegen die Sicherheitsrichtlinie werden alle Mitarbeiter zur Sensibilisierung im regelmäßig stattfindenden Wochenmeeting oder per Rundmail informiert.

Datenschutzbeauftragter

Als zentrale Datenschutzinstanz gemäß DSGVO/ BDSG der Parasol Island GmbH ernennt die Geschäftsleitung einen Datenschutzbeauftragten (DSB), der für alle operativen Belange und Fragen des Datenschutzes zuständig ist soweit sie im Kern personenbezogene Daten betreffen. Es muss sichergestellt werden, dass der DSB ordnungsgemäß und frühzeitig in alle Datenschutzfragen eingebunden wird. Er muss bei der Erfüllung seiner Aufgaben mit den erforderlichen Ressourcen, einem Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie zur Erhaltung seines Fachwissens unterstützt werden.

Der DSB hat folgende Aufgaben:

• Unterrichtung und Beratung des Verantwortlichen und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Datenschutz-Pflichten
• Überwachung der Einhaltung der Datenschutzvorschriften sowie der Strategien des Verantwortlichen für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen
• Beratung im Zusammenhang mit der Datenschutz Folgenabschätzung nach Art. 35 DSGVO und Überwachung ihrer Durchführung,
• Zusammenarbeit mit der Aufsichtsbehörde,
• Anlaufstelle für die Aufsichtsbehörde.

Informationseigner

Jedem Informationswert sollte ein sogenannter Informationseigner zugeordnet werden, der für diesen Wert verantwortlich ist.

Informationssicherheitskoordinator

Sowohl der Datenschutzbeauftragte als auf der Informationssicherheitsbeauftragte können in Absprache mit der Geschäftsführung Mitarbeiter als Koordinatoren bestimmen. Diese vertreten sie in den einzelnen Standorten.

Der Aufbau des ISMS

Aus zahlreichen Gründen ist die Dokumentation des Informationssicherheitsprozesses auf allen Ebenen entscheidend für dessen Erfolg. Nur durch eine ausreichende Dokumentation

• werden getroffene Entscheidungen nachvollziehbar,
• sind Prozesse wiederholbar und standardisierbar und
• können Schwächen und Fehler erkannt und zukünftig vermieden werden.

Abhängig vom Gegenstand und vom Verwendungszweck einer Dokumentation werden folgende Arten von Dokumentationen unterschieden: Leitlinie, Richtlinien und Arbeitsanweisungen. Diese werden im Folgenden beschrieben. Darüber hinaus beinhaltet das ISMS verschiedene andere unterstützende Dokumentation wie z.B. Protokolle, Nachweise, Listen oder Auswertungen. Diese werden im Kontext ihrer Prozesse beschrieben.

Alle Dokumente des ISMS werden in regelmäßigen Abständen daraufhin überprüft, ob der Inhalt noch den aktuellen Begebenheiten entspricht. Diese Aufgabe obliegt dem Dokumentenverantwortlichen.

Error creating thumbnail: File missing

Die Leitlinie

Die Leitlinie definiert globale Ziele und Anforderungen im Rahmen der Informationssicherheit. In der Leitlinie beschreibt die Geschäftsführung die Strategie hinsichtlich der Informationssicherheit und des Datenschutzes. Daher dürfen die Genehmigung und Veröffentlichung dieser Daten und Dokumente nur durch die Geschäftsleitung erfolgen. Eine Delegierung ist nicht möglich.

Richtlinien

In den Richtlinien wird beschrieben, wie die Anforderungen aus den Leitlinien realisiert werden sollen. Diese werden durch den Informationssicherheits- bzw. Datenschutzbeauftragten erstellt und nach der Freigabe durch die Geschäftsführung veröffentlicht. Sie werden regelmäßig durch die Sicherheitsbeauftragten auf ihre Aktualität überprüft.

Arbeitsanweisungen

In den Arbeitsanweisungen werden die anzuwendenden Verhaltensweisen und Sicherheitsmaßnahmen in Form von Prozessbeschreibungen und Anleitungen für die Mitarbeiter verständlich beschrieben. Die Erstellung und Bearbeitung der Arbeitsanweisung obliegt dem zugeordneten Abteilungsleiter oder Sicherheitsbeauftragten. Im Falle eines zugeordneten Abteilungsleiters erfolgt die Freigabe in Abstimmung mit dem Sicherheitsbeauftragten. Ist der Sicherheitsbeauftragte verantwortlich für das Dokument oder gilt die Anweisung für alle Mitarbeiter, so erfolgt die Freigabe durch die Geschäftsführung.

Dokumentation

Aufzeichnungen müssen erstellt und instandgehalten werden, um den Nachweis der Konformität mit den Anforderungen und des wirksamen Funktionierens des ISMS zu liefern. Beispiele für Aufzeichnungen sind Managemententscheidungen, Audioaufzeichnungen, technische Dokumentationen und ausgefüllte Formulare für Zugangsberechtigungen.

Die Klassifikation der Daten sowie die Regelung der Zugriffsberechtigung und Einhaltung der Sicherheitsvorgaben der vierten Dokumentenebene sowie aller weiteren Daten und Dokumente innerhalb der Parasol Island GmbH erfolgen durch die jeweiligen Zuständigen/Verantwortlichen.

Führen des ISMS

Nachdem die Rollen und der Aufbau des ISMS beschrieben wurde, geht der folgende Abschnitt darauf ein, wie die Parasol Island ihr ISMS führt. Um dem Ziel gerecht zu werden, eine umfassende Sicherheit für alle Informationen und personenbezogenen Daten zu gewährleisten, muss die Parasol Island nicht nur die im ISMS festgelegten Richtlinien und Arbeitsanweisungen befolgen, sondern diese müssen auch immer wieder hinterfragt, verbessert und den aktuellen Gegebenheiten angepasst werden. Das ISMS darf auch nicht nur Selbstzweck sein, sondern muss von allen Mitarbeitern – intern wie extern – aktiv gelebt werden.

Es ist daher essentiell, dass ein Bewusstsein für die Regelungen durch das ISMS geschaffen wird. Das kann auf verschiedenen Wegen erfolgen: sei es durch regelmäßige Schulungen, WebCasts, Hinweisen in den Regelmeetings, Rundmails oder Micro-Learnings. Die Mitarbeiter sollten das Gefühl haben, dass Informationssicherheit zu ihrem Alltag gehört und Sicherheitsbeauftrage und Geschäftsführung dieser einen sehr hohen Stellenwert zukommen lassen. Dies bedeutet auch für Fragen bzgl. Informationssicherheit und Datenschutz jederzeit ansprechbar zu sein.

Die im ISMS festgelegten Regelungen müssen befolgt werden. Dazu bedarf es der Überwachung durch die Sicherheitsbeauftragten und der Ahndung durch die Geschäftsführung. Die Art und Durchführung der Überwachung ist im ISMS beschrieben. Dies können automatische Monitorings sein wie z.B. die Übersicht, wie viele Mitarbeiter in einem Jahr eine Informationssicherheitsschulung erhalten haben, oder auch wie viele Sicherheitsvorfälle es gegeben hat. Die Sicherheitsbeauftragten können aber auch stichprobenartig überprüfen, ob z.B. ein Projekt eine Sicherheitsklassifizierung hat.

Außerdem führen die Sicherheitsbeauftragten regelmäßig Prüfungen durch, um zu sehen, ob die Daten und Konfigurationen dem Soll-Zustand entsprechen. So können beispielsweise Abweichungen in Benutzerberechtigungen erkannt werden. Auch diese Aufgaben werden im ISMS beschrieben.

Darüber hinaus werden die Tätigkeiten und Ergebnisse zur Nachverfolgbarkeit und zur Erfüllung der Nachweispflicht dokumentiert. Hier ist darauf zu achten, dass aus Gründen des Datenschutzes nicht mehr Daten als nötig erfasst werden.

Assessments & Reviews

„Es reicht nicht aus, Anforderungen an die Informationssicherheit zu definieren sowie Richtlinien zu erstellen und zu veröffentlichen. Es ist wichtig, regelmäßig die Wirksamkeit zu überprüfen (1.5.1).“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Wie in den bisherigen Abschnitten beschrieben, werden bei der Parasol Anforderungen und auch konkrete Handlungsanweisungen im ISMS festgehalten. Es darf dabei aber nicht bei reiner Dokumentation bleiben, es muss auch darauf geachtet werden, dass die Anforderungen beachtet und die Handlungsanweisungen befolgt werden.

Dazu ist es insbesondere wichtig, dass sich alle Mitarbeiter der für sie geltenden Regelungen bewusst sind. Die diesem Zweck dienlichen Maßnahmen werden in der Richtlinie zu Schulungen (ISMS, 02_15) beschrieben. Darüber hinaus muss die Umsetzung und Einhaltung kontinuierlich überprüft werden, Abweichungen erkannt und behoben sowie Verbesserungspotential ausgeschöpft werden.

Da die Verantwortung für die Informationssicherheit bei der Geschäftsführung liegt, muss diese sich des Zustandes der Informationssicherheit jederzeit bewusst sein.

Regeltermine

In regelmäßigen Abständen (mindestens einmal im Monat) und bei Bedarf informiert der Informationssicherheitsbeauftragte die Geschäftsführung hinsichtlich neuer Erkenntnisse im Bereich Informationssicherheit sowie dem Stand aktueller Tätigkeiten. Gemeinsam beschließen sie das weitere Vorgehen.

Managementbewertung

Einmal im Jahr stellt der Informationssicherheitsbeauftragte der Geschäftsführung einen ausführlichen Bericht über den Verlauf des letzten Jahres zur Verfügung. Dabei werden noch einmal die wichtigsten Sicherheitsereignisse, Maßnahmen und Ergebnisse interner Audits aufgeführt. All diese Informationen werden insbesondere hinsichtlich erkennbarer Trends untersucht und darauf basierend Vorschläge für Maßnahmen und Verbesserungen des kommenden Jahres erstellt. Diese Bewertung gilt als ergänzende Maßnahme zu den unterjährigen Terminen.

Interne Audits

Alle für die Informationssicherheit verantwortlichen Informationseigentümer müssen regelmäßig diejenigen Informationen und Prozesse hinsichtlich der sich aus dem ISMS ergebenen Anforderungen überprüfen. Die Ergebnisse dieser internen Prüfungen sind an den Informationssicherheits-beauftragten zu melden, der diese dann im Logbuch erfasst.

Als Grundlage für interne Prüfungen dient der VDA ISA-Katalog, ergänzt oder vervollständigt durch die Maßnahmen der ISO 27002.

Externe Audits

„Als wesentliches Kontrollwerkzeug reicht es nicht aus, die Wirksamkeit des ISMS ausschließlich aus einer Innensicht zu bewerten. Es muss zusätzlich in regelmäßigen Abständen und bei signifikanten Änderungen eine unabhängige und damit unbefangene Bewertung eingeholt werden.“ (1.5.2) (Verband der Automobilindustrie e.V. (VDA), 2020)

Zusätzlich zu den oben beschriebenen internen Audits wird die Parasol Island (auch) zur Erhaltung ihres TISAX-Labels mindestens alle drei Jahre von einem externen Prüfunternehmen auditiert.

Prüfung und Verbesserung

Um das ISMS kontinuierlich zu verbessern, werden die Regelungen regelmäßig hinterfragt und die Dokumentationen ausgewertet. Dazu werden verschiedene Besprechungen abgehalten. Dies können z.B. wiederkehrende Konferenzen zwischen den verschiedenen Informationseignern und den Informationssicherheitsbeauftragten sein, um aktiv diejenigen Dokumente zu kontrollieren, die im Verantwortungsbereich des Informationseigners liegen. Die Priorisierung der Tätigkeiten zur Verbesserung und die Entscheidung, welche Maßnahmen konkret getroffen werden, obliegt allerdings der Geschäftsführung. Daher muss diese in die Entscheidungsprozesse eingebunden und angemessen informiert werden.

Jährlich sollten durch den Informationssicherheitsbeauftragten interne Audits durchgeführt werden, um einen ganzheitlichen Überblick über den aktuellen Stand zu erhalten und zu erkennen, an welchen Stellen Verbesserungsbedarf besteht. Dies sollte insbesondere auch als Chance genutzt werden, das Unternehmen auf die externen Audits vorzubereiten, die TISAX alle drei Jahre fordert.

Dokumentationspflichten

Änderungen am ISMS sind generell zu dokumentieren. Diese sollten zum einen anhand der Dokumente ersichtlich sein, die die geltenden Regelungen beschreiben, zum anderen aber auch dem Informationssicherheits-Logbuch zu entnehmen sein.