ISMS: Warum du bei Geschäftsprozessen und Informationen anfängst

Wenn du dein ISMS bei den Geschäftsprozessen und Informationen beginnst, bekommst du von Anfang an eine klare Priorisierung: Du weißt, welche Systeme wirklich kritisch sind, und kannst jede Einstufung im Audit begründen. Hier erfährst du, welche typischen Probleme du damit vermeidest und wie das in der Praxis aussieht.

Drei Probleme, die du dir sparst

Viele ISMS-Projekte geraten an denselben Stellen ins Stocken. Ariadne ISMS ist so aufgebaut, dass du diese Stolpersteine von vornherein umgehst.

Zwei Sprachen im Unternehmen

Prozesse hier, Assets und Schutzziele dort

Problem 1

Das Qualitätsmanagement spricht von Prozessen, das ISMS von Assets, Risiken und Schutzzielen. Fachbereiche fühlen sich dadurch oft nicht angesprochen.

So löst du es: Du startest mit denselben Geschäftsprozessen, die du schon in Ariadne beschreibst. Fachbereiche bewerten in ihrer eigenen Sprache, was ein Ausfall für sie bedeutet.

Einstieg über IT-Assets erzeugt Prüfaufwand

Eine Matrix ohne Ende

Problem 2

Wer jedes Asset einzeln prüft, rechnet schnell so: 100 Assets mal 47 elementare Gefährdungen des BSI mal drei Schutzziele mal die Controls aus Annex A. Heraus kommt eine riesige Matrix, die nichts priorisiert.

So löst du es: Du bewertest Informationen und Prozesse einmal. Den Schutzbedarf der Assets leitet Ariadne ISMS daraus automatisch ab.

Keine echte Priorisierung

Kritikalität nach Bauchgefühl

Problem 3

Ohne den fachlichen Blick schätzt die IT ein, wie kritisch ein System ist. Im Audit lässt sich das schwer begründen.

So löst du es: Die Kritikalität ergibt sich aus dem Geschäft. Ein System ist so schutzbedürftig wie die Informationen und Prozesse, die es trägt.

Begründbar im Audit

Statt „Was sichern wir ab?“ fragst du zuerst: „Was dürfen wir nicht verlieren?“ Diese Reihenfolge hat zwei handfeste Vorteile:

• Nachvollziehbarer Schutzbedarf: Für jedes System kannst du zeigen, welche Informationen und Prozesse seinen Schutzbedarf bestimmen.
• Verantwortung bleibt im Unternehmen: ISO 27001 verlangt, dass das ISMS nicht vollständig an die IT delegiert wird. Über Geschäftsprozesse und Informationen bindest du die Fachbereiche und die Leitung automatisch ein.

Wer was beiträgt

Jede Rolle bringt das Wissen ein, das sie ohnehin hat. So verteilt sich die Arbeit sinnvoll:

So sieht das in der Praxis aus

Ein Beispiel aus der Fertigung zeigt, wie schnell eine belastbare Priorisierung entsteht. Zuerst bewertest du die Informationen nach Vertraulichkeit und Integrität:

Danach fragst du für jeden Prozess: Wie lange darf er ausfallen, bevor ein nicht mehr tragbarer Schaden entsteht? Die Antwort kennt jeweils die Person, die den Prozess verantwortet.

Mit diesen beiden Tabellen steht die Priorisierung bereits fest, noch bevor du ein einziges IT-System bewertest. Jedes System, das Fertigungszeichnungen speichert oder die Fertigung unterstützt, erbt später automatisch den hohen Schutzbedarf.

So setzt du den Ansatz im ISMS-Modul um

Verwandte Artikel

• ISMS: Was ist Ariadne ISMS und wie arbeitest du damit?
• ISMS: So entsteht der Schutzbedarf vom Prozess bis zum Asset
• ISMS: Beispiel von A bis Z: Prozess „Angebot erstellen“
• ISMS: Rollen und Berechtigungen