Podcast – Maßnahmenmanagement – zwischen Audit, Alltag und Veränderung

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Maßnahmenmanagement im ISMS bedeutet mehr, als Aufgaben zu erfassen und nach ihrer Erledigung abzuhaken. Damit Maßnahmen im Unternehmensalltag tatsächlich etwas bewirken, müssen Verantwortliche verstehen, warum sie entstehen, wer an ihrer Umsetzung beteiligt ist und wie sich ihr Erfolg überprüfen lässt.

In der neuen Folge von „Security on Air“ sprechen wir darüber, wie Unternehmen Maßnahmen aus unterschiedlichen Anlässen zusammenführen und sinnvoll steuern können.

Woher Maßnahmen im ISMS kommen

Maßnahmen können aus verschiedenen Quellen entstehen. Dazu gehören die Behandlung von Risiken und Chancen, das Erreichen von Informationssicherheitszielen und die Umsetzung relevanter Anforderungen. Auch festgestellte Nichtkonformitäten können einen Handlungsbedarf auslösen.

Eine Schulung kann beispielsweise dazu dienen, Anforderungen zu erfüllen, ein Risiko zu reduzieren oder eine vertragliche Vorgabe umzusetzen. Die Maßnahme mag in allen Fällen gleich lauten – ihr Anlass und das erwartete Ergebnis unterscheiden sich jedoch. Wer diese Zusammenhänge kennt, kann Maßnahmen gezielter planen und nachvollziehbar begründen.

Eine gemeinsame Maßnahmenübersicht schafft Überblick

Ein gemeinsamer Maßnahmenplan ist keine Normforderung, sondern eine praktische Empfehlung. Wenn Aktivitäten aus unterschiedlichen Anlässen an einer Stelle zusammenlaufen, erhalten Beteiligte einen besseren Überblick und können Dopplungen oder Abhängigkeiten leichter erkennen.

Eine zentrale Übersicht ist jedoch nur dann hilfreich, wenn die relevanten Personen einbezogen werden. Ein Audit kann etwa zeigen, dass Nutzerkonten ehemaliger Beschäftigter nicht rechtzeitig deaktiviert wurden. Eine Checkliste für das Offboarding könnte helfen – doch dafür müssen Personalabteilung und IT klären, wer welche Aufgabe übernimmt und wie die Erledigung zurückgemeldet wird.

Verantwortlichkeiten und betroffene Assets berücksichtigen

Damit eine Maßnahme nicht nur ein Symptom behandelt, sollte das Unternehmen die Ursachen und Auswirkungen betrachten. Beim Offboarding-Beispiel kann eine Checkliste den Prozess verändern und zugleich Systeme betreffen, in denen Benutzerkonten verwaltet werden. Deshalb sollten Prozess- und Assetverantwortliche sowie weitere betroffene Bereiche frühzeitig eingebunden werden.

Dient eine Maßnahme der Risikobehandlung, sollte auch der Risikoverantwortliche beurteilen können, ob das Ergebnis für die Risikominderung ausreicht. Je nach Maßnahme können außerdem weitere Funktionen erforderlich sein, etwa der Datenschutz, wenn eine geplante Veränderung Datenschutzbelange berührt. Eine verständliche Dokumentation sollte festhalten, was umgesetzt wird, warum die Maßnahme erforderlich ist und wer beteiligt ist.

Wirksamkeit im Alltag überprüfen

Eine abgeschlossene Maßnahme ist nicht automatisch eine wirksame Maßnahme. Nach der Einführung einer Offboarding-Checkliste könnte das Unternehmen beispielsweise nach einem angemessenen Zeitraum prüfen, ob ausgeschiedene Beschäftigte tatsächlich keine aktiven Zugänge mehr haben. Eine solche Überprüfung zeigt, ob der Ablauf funktioniert – oder ob Beteiligte beziehungsweise Prozessschritte fehlen.

Kennzahlen können dabei helfen, die Wirksamkeit von Informationssicherheitsmaßnahmen zu bewerten. Die ISO/IEC 27004 bei der Wirksamkeitsmessung eines ISMS unterstützen.

Fazit: Maßnahmenmanagement als Teil der Veränderung

Ein wirksames Maßnahmenmanagement im ISMS verbindet Anlass, Verantwortung, Kommunikation und Wirksamkeitsprüfung. Eine gemeinsame Maßnahmenübersicht kann den Gesamtüberblick verbessern; sie ersetzt jedoch nicht die Abstimmung zwischen den beteiligten Personen und Bereichen. Da Maßnahmen Prozesse, Systeme und weitere Informationswerte verändern können, lohnt sich außerdem der Blick auf das Changemanagement: Maßnahmen werden operativ umgesetzt, während Veränderungen auch übergreifend gesteuert werden sollten.

Was Sie auch interessieren könnte:

Seminar:

„Wirksamkeitsmessung nach ISO 27004“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Webseite.

Hören Sie rein!