Mit Ariadne ISMS steuerst du dein Informationssicherheits-Management dort, wo dein Unternehmen ohnehin arbeitet: an den Geschäftsprozessen. Du bewertest einmal, welche Informationen und Prozesse kritisch sind, und das System leitet daraus ab, wie gut deine IT-Systeme, Dienstleister und Standorte geschützt sein müssen. So priorisierst du Risiken und Maßnahmen nachvollziehbar und kannst den Schutzbedarf jedes Systems im Audit begründen.
Was du mit dem ISMS-Modul erreichst
Das ISMS-Modul ist eine webbasierte Plattform für das operative Informationssicherheits-Management. Du pflegst darin Informationen, Geschäftsprozesse, Assets, Risiken und Maßnahmen. Es baut auf Ariadne auf: Deine Geschäftsprozesse können direkt auf Seiten aus deinem Managementsystem verweisen.
- Ein Login für beide Produkte: Du öffnest das ISMS-Modul aus Ariadne über die linke Seitenleiste und meldest dich per Single Sign-on (SSO) an.
- Methodik nach ISO 27001: Du startest bei Geschäftsprozessen und Informationen, nicht bei einzelnen IT-Systemen.
- Oberfläche auf Deutsch und Englisch: Die Sprache stellst du im Benutzermenü unter Sprache / Language um. Skalen, BIA-Szenarien und Kategorien erscheinen so, wie deine Organisation sie konfiguriert hat.
Warum du bei den Geschäftsprozessen anfängst
Viele ISMS-Projekte starten bei der IT: Jedes Asset wird einzeln gegen einen Gefährdungskatalog geprüft. Das erzeugt riesige Matrizen ohne echte Priorisierung. Ariadne ISMS dreht die Blickrichtung um.
| Von unten (klassische IT-Sicherheit) | Von oben (Ariadne ISMS) |
|---|---|
| „Was sichern wir ab?“ | „Was dürfen wir nicht verlieren?“ |
| Jedes Asset einzeln gegen einen Katalog | Informationen und Prozesse einmal bewerten |
| Schutzziele an jedem Asset | Schutzbedarf wird automatisch auf Assets abgeleitet |
| Kritikalität nach Bauchgefühl | Kritikalität ergibt sich aus dem Geschäft |
Priorisierung statt Gießkanne
Aufwand dort, wo es zählt
Du investierst Zeit in die Systeme, die wirklich kritische Informationen und Prozesse tragen. Systeme mit geringem Schutzbedarf erkennst du sofort und behandelst sie entsprechend schlank.
Kritische Infrastruktur wird sichtbar
Abhängigkeiten statt Einzelbetrachtung
Über die Abhängigkeiten siehst du, welches System viele Prozesse und Informationen gleichzeitig trägt, zum Beispiel einen zentralen Fileserver. Solche Knotenpunkte fallen bei einer reinen Asset-Liste leicht durch.
Gemeinsame Basis mit dem Qualitätsmanagement
Dieselben Prozesse, zwei Perspektiven
QM spricht von Prozessen, Informationssicherheit von Assets und Schutzzielen. Weil das ISMS-Modul auf deinen Ariadne-Prozessen aufsetzt, arbeiten beide Seiten mit derselben Prozesslandschaft. Außerdem bindest du die Fachbereiche ein, statt das ISMS vollständig an die IT zu delegieren, wie es ISO 27001 verlangt.
In fünf Stationen zum gesteuerten Risiko
Die Arbeit im ISMS-Modul folgt fünf Stationen. Jede baut auf der vorherigen auf, und du kannst jederzeit zurückspringen und ergänzen.
| # | Station | Das machst du im Produkt | Typisch beteiligt |
|---|---|---|---|
| 1 | Primäre Assets erfassen | Geschäftsprozess anlegen oder aus Ariadne übernehmen, Informationen verknüpfen | Prozesseigner |
| 2 | Schutzziele ableiten | Informationen bewerten (Vertraulichkeit, Integrität, Datenschutz), Business-Impact-Analyse (BIA) am Prozess durchführen | Informationssicherheitsbeauftragter (ISB), Prozesseigner |
| 3 | Sekundäre Assets zuordnen | Assets anlegen, Abhängigkeiten vom Prozess zum Asset mit Modus und Informationen pflegen | IT |
| 4 | Risiken steuern | Risiko am Asset erfassen, in die Steuerung übernehmen, bewerten | ISB und IT |
| 5 | Maßnahmen umsetzen | Behandlung festlegen, Maßnahmen anlegen und abschließen, Risiko neu bewerten | Verantwortliche der Maßnahmen |
Ein Beispiel von A bis Z
So sieht der Weg am Beispiel des Prozesses „Angebot erstellen“ aus:
| Ebene | Inhalt |
|---|---|
| Prozess | „Angebot erstellen“, verantwortlich: Vertriebsleitung |
| BIA | Ab 24 Stunden Ausfall nicht mehr tragbar, daraus ergibt sich eine maximal tolerierbare Ausfallzeit (MTA) von 24 Stunden |
| Information | Kalkulations- und Preisdaten: Vertraulichkeit und Integrität schwerwiegend |
| Information | Kundenkontaktdaten: Vertraulichkeit mittel, Integrität gering, personenbezogen |
| Prozess (abgeleitet) | Vertraulichkeit und Integrität schwerwiegend, personenbezogen |
| Asset | CRM mit Abhängigkeit „Erforderlich“: erbt Vertraulichkeit und Integrität schwerwiegend, das Datenschutzmerkmal und die Verfügbarkeitsanforderung des Prozesses |
| Risiko | Unbefugter Zugriff über kompromittierte Zugangsdaten |
| Behandlung | Reduzieren, mit den Maßnahmen Multi-Faktor-Authentifizierung und Berechtigungskonzept |
Was im ISMS-Modul liegt und was in Ariadne
Das ISMS-Modul deckt den operativen Teil ab. Dokumente und Abläufe deines Managementsystems bleiben in Ariadne. So weißt du, wo du was pflegst:
| Im ISMS-Modul | In Ariadne | Bei dir in der Organisation |
|---|---|---|
| Informationen mit Schutz- und Datenschutzbewertung | Statement of Applicability (SoA) über die Normzuordnung | Operative Umsetzung von Maßnahmen im eigenen Aufgabentool |
| Geschäftsprozesse mit BIA | Informationssicherheits-Richtlinien | Entscheidung über die Risikoakzeptanz |
| Assets und Abhängigkeiten | Prozess „Sicherheitsvorfall melden“ | Benennung und Pflege der Rollen |
| Abgeleiteter Schutzbedarf | BCM-Pläne, Schulungsnachweise, NIS-2-Meldepflichten | – |
| Risiken, Behandlung, Wiedervorlage | – | – |
| Maßnahmen mit Status und Dokumenten | – | – |
| Dashboards mit Risikolage und Trends | – | – |
Verwandte Artikel
War dieser Artikel hilfreich?
Das ist großartig!
Vielen Dank für das Feedback
Leider konnten wir nicht helfen
Vielen Dank für das Feedback
Feedback gesendet
Wir wissen Ihre Bemühungen zu schätzen und werden versuchen, den Artikel zu korrigieren