Informations­sicherheitsleitlinie eines Unternehmens

Die Informationssicherheitsleitlinie eines Unternehmens ist ein wichtiges Dokument, das die Grundsätze der Informationssicherheit und die Erwartungen des Unternehmens in Bezug auf den Umgang mit Informationen darlegt. Die Leitlinie ist ein wesentlicher Bestandteil des Informationssicherheits­managementsystems (ISMS) eines Unternehmens und sollte von allen Mitarbeitern und Führungskräften verstanden und umgesetzt werden.

Übernahme der Verantwortung durch das Top-Management

Bei der Anpassung von organisationsweiten Prozessen spielt die Zustimmung und Unterstützung der Leitungsebene eine entscheidende Rolle. Viele Informationssicherheitsstandards – wie zum Beispiel die ISO/IEC 27001 fordern explizit, dass das Topmanagement die Gesamtverantwortung für die Informationssicherheit innerhalb der Organisation nachweislich übernehmen muss. Zudem muss es die Bedeutung eines effektiven ISMS sowie die Einhaltung der Anforderungen an die betroffenen Mitarbeiter kommunizieren. Eine wichtige Rolle bei der Kommunikation dieser Anforderungen spielt die Informationssicherheits­leitlinie (Information Security Policy).

Businessziele

Die Businessziele sollten die Erstellung, Implementierung und Durchsetzung der Leitlinie antreiben. Ein wichtiger Aspekt bei der Erstellung der Informationssicherheitsleitlinie ist, dass die Businessziele des Unternehmens im Mittelpunkt stehen sollten. Die Informationssicherheitsleitlinie sollte nicht die Businessziele des Unternehmens beeinflussen oder vorschreiben, sondern vielmehr sicherstellen, dass die Businessziele auf eine sichere und verantwortungsvolle Weise erreicht werden. Die Leitlinie sollte demnach in enger Zusammenarbeit mit dem Management und den Fachbereichen des Unternehmens erstellt werden. So ist es gewährleistet, dass das zu erstellende Dokument den Bedürfnissen des Unternehmens entspricht.

Die Informations­sicherheits­leitlinie sollte leicht verständlich sein und als Referenzpunkt dienen

Ein weiterer wichtiger Aspekt der Informationssicherheitsleitlinie ist, dass sie leicht verständlich sein sollte. Das Dokument sollte als Referenzpunkt für alle Mitarbeiter und Führungskräfte dienen und klar und deutlich formuliert sein. Darüber hinaus sollte die Informationssicherheitsleitlinie auch regelmäßig aktualisiert werden, um sicherzustellen, dass sie auf dem neuesten Stand ist und den sich ändernden Bedürfnissen des Unternehmens entspricht.

Integration in alle Geschäftsfunktionen und -prozesse

Ein wichtiger Aspekt der Informationssicherheitsleitlinie ist, dass sie in alle Geschäftsfunktionen und -prozesse integriert werden sollte. Die Leitlinie sollte sicherstellen, dass die Informationssicherheit in alle Aspekte des Unternehmens eingebettet ist, von der Beschaffung über die Entwicklung bis hin zur Wartung von IT-Systemen und der Sicherstellung der physischen Sicherheit von Räumlichkeiten und Geräten.

Berücksichtigung aller geltenden Gesetze und Vorschriften

Ein weiterer wichtiger Aspekt der Informationssicherheitsleitlinie ist, dass sie alle geltenden Gesetze und Vorschriften berücksichtigen sollte, die für das Unternehmen relevant sind.

Regelmäßige Überprüfung und Anpassung

Die Informationssicherheitsleitlinie eines Unternehmens sollte regelmäßig überprüft und angepasst werden, um sicherzustellen, dass sie den aktuellen Bedürfnissen und Anforderungen des Unternehmens entspricht. Änderungen des Geltungsbereiches, Änderungen im Geschäftsmodell, Fusionen oder Übernahmen sowie Veränderungen in der Unternehmensführung können Änderungen an der Leitlinie erfordern.

Datierung und Versionierung der Leitlinie

Um sicherzustellen, dass alle Mitarbeiter die aktuelle Version der Leitlinie verwenden, sollte jede Überarbeitung der Leitlinie datiert und versioniert werden. Auf diese Weise kann auch nachvollzogen werden, wann und welche Änderungen vorgenommen wurden. Hierzu gehören beispielsweise der Verfasser, der Überprüfer, Unterzeichner und so weiter.

Bekanntmachung

Die Art der Bekanntmachung der Informationssicherheitsleitlinie hängt von den spezifischen Anforderungen und Bedürfnissen des Unternehmens ab. In vielen Fällen wird die Leitlinie über interne Kommunikationskanäle wie das Intranet oder E-Mail-Verteiler veröffentlicht. Dabei ist es wichtig, dass die Leitlinie für alle Mitarbeiter leicht zugänglich ist und regelmäßig aktualisiert wird. Darüber hinaus kann es sinnvoll sein, eine Schulung oder ein Training für Mitarbeiter zu organisieren, um sicherzustellen, dass sie die Leitlinie vollständig verstehen und umsetzen können.

Beispielsweise könnte die Informationssicherheitsleitlinie eines Unternehmens in Form eines PDF-Dokuments auf dem Intranet zur Verfügung gestellt werden, das regelmäßig aktualisiert wird, um sicherzustellen, dass alle Mitarbeiter Zugriff auf die neueste Version haben. Das Unternehmen könnte auch eine regelmäßige E-Mail an alle Mitarbeiter senden, in der sie auf die Leitlinie und Änderungen hingewiesen werden. Eine Schulung oder ein Training könnte durchgeführt werden, um sicherzustellen, dass alle Mitarbeiter das Bewusstsein und Verständnis für die Sicherheitsrisiken haben und wissen, wie sie sich in Übereinstimmung mit der Leitlinie verhalten sollen.

Zugänglichkeit der Leitlinie für alle betroffenen Einheiten und Mitarbeiter

Es ist wichtig, dass alle Abteilugen und Mitarbeiter einfachen Zugang zu ihr haben. Die Leitlinie sollte daher auf einem Portal im Intranet des Unternehmens veröffentlicht werden. Dadurch können alle Mitarbeiter schnell und einfach auf die Leitlinie zugreifen und sie überprüfen, wenn sie Fragen zur Informationssicherheit haben. Es ist notwendig, dass die Mitarbeiter genau wissen, an wen sie sich bei Fragen zur Leitlinie wenden sollen. In der Regel sind es Informationssicherheitskoordinatoren, Information Security Officer (ISO), Chief Information Security Officer (CISO), Informationssicherheitsbeauftragte (ISB) und ähnlich gelagerte Positionen.

Die Implementierung einer umfassenden Informationssicherheitsleitlinie kann Unternehmen helfen, ihre vertraulichen Daten und Informationen zu schützen und das Vertrauen ihrer Kunden zu stärken. Indem die Leitlinie regelmäßig aktualisiert und angepasst wird und allen Mitarbeitern leicht zugänglich gemacht wird, kann das Unternehmen sicherstellen, dass es immer auf dem neuesten Stand der Informationssicherheit bleibt.

Exkurs: Dokumentenlenkung

In der Dokumentenlenkung geht es darum sicherzustellen, dass Dokumente systematisch und nachvollziehbar erstellt, geprüft, verteilt und entsorgt werden. Diese Praktiken werden auch als “Lenkung von Aufzeichnungen” oder “Lenkung von Dokumenten” bezeichnet. Im Qualitätsmanagement spricht man seit der DIN EN ISO 9001:2015 von der “Lenkung dokumentierter Information”, die Dokumente, Daten, externe Dokumente, Formulare, Checklisten, Aufzeichnungen, Prozessbeschreibungen und Arbeitsanweisungen umfasst. Die Dokumentenlenkung gewährleistet die Integrität und Nachvollziehbarkeit von Dokumenten und ist damit ein entscheidender Bestandteil der Organisation.

Verschiedene Aspekte der Dokumentenlenkung

Um verschiedene Aspekte von Dokumenten zu steuern, fordert die ISO 9001:2015 (genaueres zur ISO 9001) ein dokumentiertes Verfahren, das die Identifizierung, Aufbewahrung, Schutz, Wiederauffinden, Aufbewahrung, Überprüfung, Freigabe, Disposition, Lesbarkeit und Nachverfolgung von Änderungen umfasst. Die Dokumentenlenkung unterstützt Unternehmen dabei, organisiert und agil zu bleiben, insbesondere wenn sie wachsen. ISO 9001-zertifizierte Unternehmen müssen diese Praktiken lückenlos und umfassend umsetzen, um ein erfolgreiches Qualitätsmanagement-Audit zu bestehen.

Wann gilt ein Dokument als “gelenkt”?

Ein Dokument gilt im Sinne der ISO 9001 als gelenkt, wenn jeder Schritt seines Werdegangs, von der Erstellung über die Überprüfung, Genehmigung, Verteilung bis hin zum Einzug alter Versionen, festgelegt und jederzeit nachvollziehbar ist. Wie genau diese Praktiken umgesetzt werden, bleibt den Unternehmen selbst überlassen. Die ISO 9001 gibt keine Vorgaben dazu, wer Dokumente erstellen oder freigeben darf, wann Dokumente überprüft werden müssen und welche Dokumente gelenkt werden müssen. Es genügt, sich auf die wesentlichen Dokumente zu beschränken, um die Dokumentenlenkung effektiv umzusetzen. Weniger ist mehr.

Langlebigkeit der Informationsicherheitsleitlinie

Die Erstellung einer Informationsicherheitsleitlinie sollte mit der Absicht erfolgen, dass diese über mehrere Jahre hinweg bestehen bleibt.

Exkurs: Entwicklung einer Leitlinie

Die Entwicklung einer Leitlinie erfordert sorgfältige Überlegungen und sollte in Übereinstimmung mit den bestehenden Leitlinien-Entwicklungsmechanismen im Unternehmen erfolgen.

Input von relevanten Stakeholdern einholen

Um sicherzustellen, dass die Leitlinie von allen Mitarbeitern akzeptiert und umgesetzt wird, ist es wichtig, Input von allen relevanten Stakeholdern einzuholen. Die Perspektiven aller Führungskräfte und Teams, die von der Leitlinie betroffen sind, sollten sorgfältig berücksichtigt werden, auch wenn nicht jeder im Unternehmen mit der vorgeschlagenen Leitlinie einverstanden ist.

Befolgung der Hierarchie

Ein Verständnis der Organisationsstruktur ist unerlässlich für den Erfolg einer Leitlinie. Die Einhaltung der offiziellen Governance-Linien und der informellen Mechanismen im Unternehmen sind wichtig, um Unterstützung für die Leitlinie zu gewinnen.

Anpassung an die Organisationskultur

Es gibt keinen universellen Sicherheitsleitfaden, der für alle Unternehmen geeignet ist, da jeder Betrieb anders ist. Daher müssen die Leitlinien auf die Organisationskultur und die “Tonlage an der Spitze” anderer Führungskräfte abgestimmt werden. Aus diesen Überlegungen wird von der Nutzung vorgefertigter Vorlagen oder Templates abgeraten.

Erfüllung interner und externer Anforderungen

IT-Sicherheitsprogramme werden stark von internen Governance-Prozessen und externen Gesetzen und Vorschriften reguliert. Sei es das BSIG, TKG, KRITIS-Verordnungen, in vielen Fällen können diese Anforderungen den Inhalt von Sicherheitsleitlinien vorgeben oder beeinflussen. Die Leitlinien sollten jedoch nicht im Widerspruch zu diesen Anforderungen stehen.

Nach der Erstellung der Leitlinie muss diese durch die Genehmigungsmechanismen des Unternehmens geprüft werden. Nachdem die Leitlinie endgültig genehmigt wurde, kann der CISO oder der ISB die Leitlinie den betroffenen Personen und Teams kommunizieren und mit der Umsetzung beginnen. Je nach Art der Änderung kann dies einen schrittweisen Ansatz erfordern, um das Unternehmen allmählich an die neuen Anforderungen anzupassen.

Zukunftsorientierte Leitlinie

Es ist wichtig, bei der Erstellung einer Informationsicherheitsleitlinie die Zukunft im Blick zu behalten. Technologische Fortschritte und sich ändernde Geschäftsmodelle bringen Veränderungen mit sich. Diese Veränderungen haben oft Auswirkungen auf die Informationsicherheit des Unternehmens. Daher sollten die Richtlinien so gestaltet werden, dass sie flexibel genug sind, um sich an potenzielle Veränderungen anzupassen.

Professionelle Präsentation

Die Präsentation der Informationsicherheitsleitlinie ist ein weiterer wichtiger Aspekt. Eine professionelle Präsentation zeigt, dass das Unternehmen die Bedeutung der Informationsicherheit ernst nimmt. Es ist auch eine Möglichkeit, das Bewusstsein der Mitarbeiter für die Wichtigkeit der Leitlinie zu erhöhen. Eine klare, leicht verständliche Sprache und ein ansprechendes Design können dazu beitragen, die Akzeptanz der Leitlinie zu verbessern.

Zugänglichkeit der Leitlinie

Die Leitlinie sollte für alle Mitarbeiterinnen und Mitarbeiter des Unternehmens leicht zugänglich sein. Eine Möglichkeit ist die Veröffentlichung der Leitlinie auf einem Portal im Intranet. Darüber hinaus ist es wichtig, dass die Mitarbeiterinnen und Mitarbeiter regelmäßig auf die Leitlinie aufmerksam gemacht werden und sich bewusst sind, wo sie zu finden ist. Dadurch wird sichergestellt, dass die Leitlinie jederzeit zur Verfügung steht und die Mitarbeiterinnen und Mitarbeiter in der Lage sind, sie bei Bedarf zu konsultieren.

Klare und verständliche Sprache verwenden

Die Informationssicherheitsleitlinie in einer klaren und verständlichen Sprache zu verfassen, hat enorme Vorteile. Alle Mitarbeiter können sie dadurch verstehen und im Folgenden umsetzen. Die Verwendung von einfachen und prägnanten Aussagen trägt dazu bei, die Bedeutung und Relevanz der Leitlinie zu betonen.

Regelmäßige Überprüfung und Aktualisierung

Die regelmäßige Überprüfung und Aktualisierung der Informationssicherheitsleitlinie ist ein wichtiger Bestandteil des kontinuierlichen Verbesserungsprozesses (KVP). Ein KVP-Prozess ermöglicht es Unternehmen, ihre Leitlinien kontinuierlich zu verbessern.

Eine bewährte Methode zur Durchführung eines KVP ist die Anwendung des PDCA-Zyklus. Der PDCA-Zyklus besteht aus den vier Schritten:

1. Planung (Plan),
2. Durchführung (Do),
3. Überprüfung (Check) und
4. Verbesserung (Act).

Dieser Zyklus kann genutzt werden, um die Informationssicherheitsleitlinie zu überprüfen und zu aktualisieren.

Die Überprüfung sollte auch dazu dienen, festzustellen, ob die Leitlinie tatsächlich umgesetzt wird und ob sie in der Praxis noch immer relevant ist. Gegebenenfalls müssen Änderungen vorgenommen werden, um sicherzustellen, dass die Leitlinie den aktuellen Bedrohungen und Herausforderungen entspricht.

Durch eine regelmäßige Überprüfung und Aktualisierung der Leitlinie kann das Unternehmen sicherstellen, dass es immer auf dem neuesten Stand in Bezug auf die Informationssicherheit ist. Die fortlaufende Aktualisierung des Dokumentes zeigt auch, dass das Unternehmen die notwendigen Maßnahmen zur Wahrung der der Vertraulichkeit, Integrität und Verfügbarkeit seiner Assets ergreift.

Zusammenfassung

Die Erstellung einer Informationssicherheits­leitlinie ist ein wichtiger Schritt für jedes Unternehmen, um die Sicherheit von Informationen und Daten zu gewährleisten. Dabei sind folgende Punkte zu beachten:

• Business-Ziele sollten die Erstellung, Umsetzung und Durchsetzung der Leitlinie bestimmen.
• Top-Down Prinzip. Die Informationssicherheitsleitlinie wird vom Top-Management verabschiedet.
• Informationssicherheit sollte in alle Geschäftsprozesse und -funktionen integriert werden.
• Die Leitlinie sollte von relevanten Gesetzen und Vorschriften des Unternehmens abgeleitet und unterstützt werden.
• Die Leitlinie sollte regelmäßig überprüft und angepasst werden.
• Jede Version der Leitlinie sollte datiert und unter Versionskontrolle stehen.
• Dokumentenlenkung.
• Leicht Zugänglich.
• Die Leitlinie sollte so gestaltet sein, dass sie mehrere Jahre lang in Kraft bleiben kann.
• Berücksichtigung potenzieller Veränderungen.
• Die Leitlinie sollte klare und verständliche Aussagen enthalten.

Schlusswort

Die Implementierung einer Informationssicherheitsleitlinie ist ein wichtiger Schritt, um die Sicherheit von Informationen und Daten in einem Unternehmen zu gewährleisten. Eine sorgfältige Erstellung und regelmäßige Überprüfung der Leitlinie ist von entscheidender Bedeutung. Dies hilft sicherzustellen, dass sie den aktuellen Bedrohungen und Entwicklungen in der IT-Sicherheit gerecht wird. Eine gute Leitlinie sollte klar und verständliche sein. Zudem muss sie von allen Mitarbeitern und dem Management befolgt werden. Dies kann das Vertrauen der Kunden und Partner des Unternehmens stärken und zum Erfolg des Unternehmens beitragen.