Informationssicherheitsmanagementsystem

ISMS-Prozess

Unser ISMS-Prozess deckt umfassende Bereiche ab, darunter:

• Vertraulichkeit: Sicherstellen, dass Informationen nur für Personen zugänglich sind, die berechtigt sind.
• Integrität: Wahrung der Genauigkeit und Vollständigkeit von Informations- und Verarbeitungsmethoden.
• Verfügbarkeit: Sicherstellen, dass autorisierte Nutzer bei Bedarf Zugriff auf Informationen und zugehörige Vermögenswerte haben.
• Kontext der Organisation: Definition der internen und externen Aspekte, die die Sicherheit betreffen, und Identifikation der Anforderungen der Interessengruppen.
• Führung und Engagement: Sicherstellung, dass das oberste Management Ressourcen bereitstellt, Richtlinien festlegt und Rollen sowie Verantwortlichkeiten zuweist.
• Planung: Identifizierung von Risiken und Chancen sowie Festlegung von Informationssicherheitszielen.
• Unterstützung: Verwaltung von Ressourcen, Kompetenz, Bewusstsein und Kommunikation sowie die Pflege dokumentierter Informationen.
• Betrieb: Umsetzung der Pläne und Prozesse zur Erfüllung der Sicherheitsanforderungen, einschließlich regelmäßiger Risikobewertungen und -behandlungen.
• Leistungsbewertung: Überwachung, Messung und Audit des Systems, um sicherzustellen, dass es wie vorgesehen funktioniert.
• Verbesserung: Korrekturmaßnahmen bei Nichtkonformitäten ergreifen und die Effektivität des Systems kontinuierlich verbessern.
• Risikobewertung: Identifizierung von Bedrohungen und Schwachstellen für Vermögenswerte sowie Bewertung der potenziellen Auswirkungen und der Wahrscheinlichkeit von Sicherheitsvorfällen.
• Risikobehandlung: Entscheidung, wie mit identifizierten Risiken umgegangen werden soll (z. B. Vermeidung, Änderung, Teilen oder Behalten) und Erstellung von Risikobehandlungsplänen.
• Statement of Applicability (SoA): Ein Dokument, das aufzeigt, welche Sicherheitsmaßnahmen aus dem Standard für die Organisation relevant sind und warum.
• Organisatorische Kontrollen: Richtlinien, Nutzung von Cloud-Diensten und Lieferantenbeziehungen.
• Personalkontrollen: Remote-Arbeiten, Screening und Vertraulichkeitsvereinbarungen.
• Physische Steuerungen: Überwachung physischer Sicherheit, Speichermedien und Wartung von Geräten.
• Technologische Kontrollen: Authentifizierung, Verschlüsselung und Schutz vor Malware.

Zusätzliche Prozesse:

• Umsetzung von Kontrollen, die den ISO 27001 Anhang A-Normen und SOC 2 zugeordnet sind
• Prüfung: Regelmäßige interne und externe Prüfungen und Überprüfungen
• Sicherheits- und Datenpannen: Vorfallreaktion zur Untersuchung, Eindämmung, Behebung und Verwaltung von Sicherheits- oder Datenpannen
• Geschäftskontinuität: Prozesse und Vorbereitung zur Fortsetzung des Geschäfts, um Geschäftsstörungen zu verhindern oder zu reduzieren
• Schulung: Mitarbeitersicherheitstraining und Bewusstseinsbildung