Schlagwortarchiv für: Informationssicherheit

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Die ISO-Normen – schon allein das Wort klingt nach viel Papier und Bürokratie. Aber ist die Angst, ein Bürokratie- und Papiermonster zu schaffen, wenn man z.B. die ISO 27001 für ein ISMS umsetzen möchte, gerechtfertigt?

In unserer Folge „Bürokratiemonster ISO Norm“ gehen wir auf folgende Aspekte ein:

  • Das richtige Verständnis für die Norm
  • Anpassen der Umsetzung auf die eigenen Prozesse
  • Was bedeutet Dokumentation?
  • Die ISO-Norm muss nicht für einen Auditoren umgesetzt werden

Hier ein Paar Links zum Thema ISO-Normen auf Webseiten:

  • https://anmatho.de/informationssicherheit/
  • https://de.wikipedia.org/wiki/ISO/IEC_27001
  • https://advisera.com/27001academy/de/blog/2011/03/25/informationssicherheitsleitlinie-wie-detailliert-sollte-sie-sein/

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Das Jahr 2022 war auch aus Datenschutz- und Informationssicherheitssicht kein ruhiges Jahr. Neue Beschlüsse, geänderte Gesetze und aktualisierte Normen werfen ihre Schatten auf 2023. Im Datenschutz ist weiterhin die Zusammenarbeit mit Drittstaaten ein großes Thema, in der Informationssicherheit stellen die aktualisierten Normen ISO 27001 und 27002 die Unternehmen vor neue Herausforderungen.

In unserer Folge “Jahresrückblick“ gehen wir auf folgende Aspekte ein:

  • TTDSG und Privacy Shield
  • Aktuelles zu Micosoft und Google Fonts
  • Zertifizierung im Datenschutz
  • Die neue ISO 27001 und 27002
  • IT-SiG 2.0, NIS 2 und TISAX

Hier ein Paar Links zum Thema MS Office 365 und die ISO 2700x:

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Zum besseren Schutz unternehmenseigener Werte und Informationen ist die Einführung eines Informationssicherheits-Managementsystems ratsam. Dieses kann nach unterschiedlichsten Standards aufgebaut und zertifiziert werden, die wohl am weitest verbreiteten in Deutschland sind die Implementierung eines ISMS nach ISO 27001 oder nach IT-Grundschutz vom BSI.

In unserer Folge „IT-Grundschutz vs. ISO 27001“ gehen wir auf folgende Aspekte ein:

  • Inhaltliche Unterschiede zwischen der ISO 27001 und dem IT Grundschutz
  • Vorgehensweisen der jeweiligen Standards
  • Externe und interne Faktoren für die Entscheidung
  • Zertifizierbarkeit der Verfahren

Hier ein Paar Links zum Thema Aufgaben des Informationssicherheitsbeauftragten:

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Zum besseren Schutz unternehmenseigener Werte und Informationen ist die Einführung eines Informationssicherheitsmanagementsystems ratsam. In der Automobilindustrie und allen zugehörigen Bereichen hat sich der VDA Standard TISAX® etabliert, um einen vergleichbaren und umfänglichen Schutz herzustellen. Besonderheiten wie Prototypenschutz und Datenschutz werden hier zusätzlich berücksichtig.

In unserer Folge „TISAX® – Informationssicherheit in der Automobilindustrie“ gehen wir auf folgende Aspekte ein:
• Woher kommt der TISAX® Standard?
• Aufbau des Information Security Assessments
• Prüfung und Zertifizierung der Informationssicherheit nach TISAX®
• Bedeutung in der Automobilbranche

Hier ein Paar Links zum Thema TISAX® – Informationssicherheit in der Automobilindustrie:
https://enx.com/de-de/tisax/
https://anmatho.de/seminare/
https://www.dekra.de/de/tisax-assessment

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Der Schutz firmeneigenen Informationen ist in der heutigen Geschäftswelt elementar, ein ISMS (Informationssicherheits-Managementsystem) kann hier helfen durch das stürmische Gewässer „Informationssicherheit“ zu manövrieren.

In unserem heutigen Podcast zeigen wir auf, was die Einführung eines ISMS aus Führungssicht bedeutet, welche Vorüberlegungen für ein erfolgreiches System nötig sind und welche handfesten Vorteile es bietet, nicht nur in Bezug auf IT-Sicherheit.

Dabei gehen wir in unserer Folge “ Die Geschäftsführung im ISMS“ auf folgende Aspekte ein:

  • Wie wird Informationssicherheit im Unternehmen organisiert?
  • Was wird dabei von der Geschäftsführung konkret erwartet?
  • Wie kann ein ISMS (engl. Information Security Management System) helfen strategische Entscheidungen zu treffen?
  • Wie kann das eigene Haftungsrisiko als Geschäftsführung reduziert werden?

 

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

Wie wir in dem vorherigen Artikel beschrieben hatten, bietet die Einführung und dauerhafte sichere Nutzung des Arbeitens im Home Office vielfach Anlass oder sind Auslöser, um Abläufe und Prozesse im eigenen Unternehmen zu überdenken und zu digitalisieren. Dazu gehören natürlich auch Prozesse zum Support und zur Infrastruktur.

Internetbasierte Lösungen

In der Zeit des ersten Lockdowns war es für die IT-Abteilungen oftmals eine große Herausforderung, ausreichend Geräte und Einwahlverbindungen für alle Mitarbeiter für die mobile Nutzung von zu Hause zur Verfügung zu stellen. Andererseits zeigt sich an dieser Stelle deutlich ein Vorteil von internetbasierten Lösungen: man benötigt eben keine Einwahlverbindung für das Speichern der soeben frisch erstellten Dokumente oder zum Starten einer Videokonferenz mit den Kollegen, wenn auf diese Dienste per Internet zugegriffen werden kann.

Ein weiterer Sicherheitsaspekt ist die zentrale Ablage – es gibt keinen Grund mehr, Dateien lokal auf dem Rechner abzulegen, um sie „später“ hochzuladen, d.h. man führt die Dateien auch nicht mehr mit sich, ein Verlust (im Sinne von: ich kann die Inhalte nicht wiederherstellen) ist ausgeschlossen. Voraussetzung ist natürlich ein zuverlässiger Betrieb einer solchen Lösung, damit sie von den Mitarbeitern auch angenommen und akzeptiert wird. Zugleich ergibt sich in einer solchen Konstellation die Möglichkeit, das Backup von Endanwendergeräten komplett zu überdenken – warum sollten diese Geräte gesichert werden, wenn alle relevanten Daten zentral abgelegt sind und sowohl vom Firmengelände aus als auch im Home Office jederzeit genutzt werden können? Die dargestellte Konstellation erleichtert also auch für die IT-Abteilungen das Anfertigen von Datensicherungen, da sich alle relevanten Dateien nur in einigen wenigen, bekannten Systemen befinden.

Turnschuhadministration vs Fernwartung

Dafür kommt auf die IT-Abteilungen eine andere Herausforderung zu: Wie erfolgt der Support der Mitarbeiter im Home Office? Während in großen Unternehmen häufig schon vor der Pandemie Lösungen zur Fernwartung umgesetzt waren, findet man in kleineren Unternehmen solche Konzepte nicht so oft – schließlich hat man ja kurze Wege, und „Turnschuhadministration“ funktioniert im Büro sehr zuverlässig. Man wird also kaum umhinkommen, für die Sicherstellung der technischen Unterstützung im Home Office eine Lösung zur Fernwartung zu etablieren.

Datensicherung, Patchmanagement und technischer Support sind neben den in einem vorherigen Artikel angesprochenen organisatorischen Fragestellungen Punkte, die für ein sicheres Arbeiten im Home Office in technischer Hinsicht unbedingt betrachtet werden sollten.

Wünschen Sie sich, sich mit Anderen darüber auszutauschen? Dann ist eventuell unser eintägiges Seminar für Sie interessant. In dem zeigen wir thematisch breit, aber trotzdem praxisorientiert, wie das Arbeiten im Home-Office sinnvoll, sicher und datenschutzkonform organisiert werden kann!

Was Sie auch interessieren könnte:

Seminar:

Datenschutz und Informationssicherheit im Home Office und beim mobilen Arbeiten

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Informationssicherheit und Datenschutz lassen sich aus dem heutigen Geschäftsalltag nicht mehr wegdenken. Gesetzliche Anforderungen, Bedrohungsszenarien von außen, aber auch das eigene Bewusstsein, mit Daten und Informationen schützend umzugehen erhöhen die Notwendigkeit sich mit den Themen nachweisbar zu beschäftigen.

Die ISO 27701 gibt eine Hilfestellung, den Datenschutz in ein bestehendes Informationssicherheits-Managementsystem zu integrieren.

In unserem Podcast zur ISO 27701 befassen wir uns damit, wie die ISO 27701 aufgebaut ist, wie sie im Rahmen der ganzen ISO 2700er Reihe einzuordnen ist und was bei der Umsetzung beachtet werden muss.

In unserer Folge “ ISO 27701 – den Datenschutz in ein bestehendes ISMS nach ISO 27001 integrieren“ gehen wir auf folgende Aspekte ein:

  • Was ist die ISO 27701 und wie ist sie einzuordnen?
  • Synergien aus einem bereits zertifizierten Managementsystem nutzen
  • Wofür der Aufwand? Nutzen einer Einführung der ISO 27701

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

Im Februar 2022 wurde die neue, nunmehr dritte Version der ISO-Norm 27002 offiziell freigegeben, welche die vorherige Version aus dem Jahr 2013 ersetzt.

Wie bei diesen Normen üblich, liegt zunächst die englischsprachige Version vor. Eine deutsche Übersetzung ist vermutlich nicht vor 2023 zu erwarten. Die Inhalte der ISO 27002:2022 wurden teilweise überarbeitet und aktualisiert, an einigen Stellen wurden Themengebiete zusammengefasst und gestrafft. Obwohl sich die Anzahl der enthaltenen Controls somit von 114 auf nunmehr 93 verringert hat, ergeben sich keineswegs weniger Aktivitäten bei der praktischen Umsetzung der Hinweise, ganz im Gegenteil: zu den bestehenden Controls sind 11 neue hinzugekommen. So wurde z.B. mit Kapitel 5.7 das Thema „Threat Intelligence“ neu hinzugefügt, in Kapitel 7.4 die *Überwachung* der physischen Sicherheit („Physical security monitoring“) neu aufgenommen oder in Kapitel 8.12 „Data Leakage Prevention“, also die Verhinderung eines Datenabflusses.

Neben den neuen Controls finden sich auch einige nicht so offensichtliche Verschärfungen in der neuen Version: so wird beispielsweise in Kapitel 5.1. nicht nur wie bisher die Bekanntmachung der Informationssicherheitsleitlinie gefordert, sondern vielmehr zusätzlich die bewusste Bestätigung der Kenntnisnahme („acknowledged by relevant personnel“) durch die eigenen Mitarbeiter. Eigentlich nur eine kleine Änderung, die jedoch den Stellenwert von Informationssicherheit im Unternehmen und die Bedeutung der getroffenen Vorgaben stärker betonen soll.
Auf den Zusammenhang zwischen den Normen ISO 27001, ISO 27002 und ISO 27019 werden wir in einem separaten Artikel eingehen. Vorab nur soviel: die Änderungen in der neuen ISO 27002 werden auch Auswirkungen auf die ISO 27001 haben …

Was Sie auch interessieren könnte:

Seminar:

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Im ersten Teil dieser Artikel-Serie haben wir uns mit dem risikobasierten Ansatz beschäftigt, der der Informationssicherheit und dem Datenschutz gemein ist. In diesem Artikel soll es um die Referenzmaßnahmenziele und -Maßnahmen zu den Pflichten des Verantwortlichen gehen.

Im Anhang A der ISO 27701:2021 werden die Referenzmaßnahmenziele und -Maßnahmen (Controls) definiert, die speziell für Verantwortliche im Sinne des Datenschutzes gedacht sind. Sie dienen der Erfüllung der Pflichten des Verantwortlichen. Der Anhang B, dem ich mich in einem späteren Blog-Artikel widmen werde, spezifiziert Controls für Auftragsverarbeiter.

Die Nummerierung der Controls funktioniert analog zur ISO 27001. Das bedeutet, dass sich die Nummerierung auf die entsprechenden Norm-Kapitel der ISO 27701 bezieht. In der ISO 27701 sind die Normkapitel 7 und 8 ähnlich aufgebaut wie die Kapitel der ISO 27002:2013. Es gibt Zielsetzungen, Maßnahmen und Leitlinien zur Umsetzung. Die Anhänge A.7 und A.8 beziehen sich dann auf die entsprechenden Abschnitte der Kapitel 7 und 8.

Pflichten des Verantwortlichen

Die Tabelle im Anhang A der ISO 27701 gliedert sich in vier Abschnitte – A.7.2 bis A.7.5. Alle Controls müssen vor dem Hintergrund der anwendbaren Datenschutzgesetzgebung betrachtet werden. Ähnlich wie in der ISO 27001 wird nicht vorgeschrieben, wie etwas umzusetzen ist, sondern vielmehr, um welche Themenbereiche man sich zu kümmern hat. Dabei dürfen die Controls im Datenschutz nicht ausschließlich nach eigenen Vorstellungen umgesetzt werden, sondern so, dass die für die eigene Organisation zutreffenden gesetzlichen Bestimmungen erfüllt werden. Die Umsetzungshinweise in Kapitel 7 sind dabei oftmals notwendige, aber keine hinreichenden Bedingungen.

Pflichten des Verantwortlichen zu Bedingungen für die Erhebung und Verarbeitung

A.7.2 beschreibt 8 Controls zu den Bedingungen für die Erhebung und Verarbeitung personenbezogener Daten. Hier werden datenschutzrechtliche Grundsätze wie die Zweckbindung und Rechtmäßigkeit der Verarbeitung adressiert. Darüber hinaus beschäftigt sich der Abschnitt mit Verfahren zur Einholung von Einwilligungen, zur Datenschutzfolgeabschätzung, zu Verträgen mit Auftragsverarbeitern und gemeinsame Verantwortlichkeiten (Joint Controllership). Zum Schluss werden Aufzeichnungen und Nachweise thematisiert.

Verpflichtungen gegenüber betroffenen Personen

A.7.3 beschreibt 10 Controls: Von der Bestimmung der eigenen Pflichten gegenüber Betroffenen bis zum Definieren und Umsetzen entsprechender Prozesse sind hier alle entscheidenden Pflichten des Verantwortlichen gegenüber Betroffenen adressiert.

Verantwortlichen zum Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

A.7.4 beschreibt 9 Controls zum Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Dieser Abschnitt beschäftigt sich mit den Themen Privacy by Default und Privacy by Design.

Pflichten des Verantwortlichen zur Weitergabe, Übertragung und Offenlegung von personenbezogenen Daten

A.7.5 beschreibt 4 Controls zur Weitergabe, Übertragung und Offenlegung von personenbezogenen Daten. Dabei wird insbesondere der Bereich der Übermittlung in Drittstaaten adressiert.

Wie es weiter geht

Die nächsten Artikel dieser Serie zur ISO 27701 beschäftigen sich mit den Themen

Was Sie auch interessieren könnte:

Seminar:

“ISO 27701 – Den Datenschutz in ein bestehendes ISMS nach ISO 27001 integrieren”

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

JETZT GIBT’S WAS AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Der Faktor „Mensch“ spielt eine wesentliche Rolle in der Informationssicherheit sowie im Datenschutz. Daher ist es enorm wichtig, allen Mitarbeitern die Risiken greifbar zu machen, das notwendige Wissen zu vermitteln und Akzeptanz und Verständnis für die Sicherheitsrichtlinien und Maßnahmen zu fördern. Dabei sollte die Individualität jedes Mitarbeiters und Aufgabengebietes berücksichtigt werden.

In unserem Podcast zum Thema „Das Konzept „Security Awareness“ möchten wir Ihnen in 2 Folgen Denkanstöße und Tipps zu diesem Thema geben.

In der Folge 1 „Aller Anfang ist nicht schwer“ befassen wir uns mit dem Start des Projektes „Security Awareness“:

  • welchen Stellenwert Security Awareness hat und haben sollte,
  • warum der konzeptionelle Gedanke ratsam ist,
  • was man bei einer Risikoanalyse beachten sollte,
  • wie wichtig konkrete Awareness-Ziele sind,
  • warum „one fits all“ bei Security Awareness nicht greift.

In der Folge 2 „Ein Ziel – viele Wege“ befassen wir uns mit der Wichtigkeit von zielgruppengerechten Awareness-Maßnahmen:

  • warum das Arbeitsumfeld für die Auswahl von Maßnahmen relevant ist,
  • welche Gefahr technische und organisatorische Hürden darstellen,
  • wie Verhaltensänderungen nachhaltig bewirkt werden können,
  • warum ein strukturierter Einsatz von verschiedenen Tools notwendig ist,
  • welche Tools es gibt und
  • wie man die Wirksamkeit seiner Kampagne überprüfen kann.

Alle unsere Podcast-Folgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.