Informationssicherheit verständlich erklärt: Menschen, Prozesse und Technik

Drei Schutzziele als Ausgangspunkt

Vertraulichkeit bedeutet, dass Informationen nur den berechtigten Personen und Systemen zugänglich sind. Integrität betrifft ihre Richtigkeit und den Schutz vor unbefugter Veränderung. Verfügbarkeit beschreibt, dass Informationen und die benötigten Dienste im erforderlichen Umfang nutzbar sind.

Wie stark welcher Schutz sein muss, hängt vom jeweiligen Inhalt und Geschäftsprozess ab. Eine öffentliche Produktinformation stellt andere Anforderungen als eine Personalakte oder die Konfiguration eines zentralen Systems.

Informationssicherheit umfasst mehr als digitale Systeme

IT-Sicherheit beschäftigt sich mit dem Schutz der technischen Systeme und ihrer Verarbeitung. Informationssicherheit schließt zusätzlich beispielsweise Papierunterlagen, vertrauliche Gespräche, Zutritt und organisatorische Abläufe ein.

Ein gutes technisches Zugangssystem hilft nur begrenzt, wenn sensible Unterlagen offen liegen oder Zugriffsrechte nach einem Rollenwechsel nicht angepasst werden. Deshalb werden Technik, Arbeitsweise und Verantwortlichkeiten gemeinsam betrachtet.

Risiken mit den Verantwortlichen bewerten

Welche Informationen sind für Ihr Unternehmen besonders wichtig? Was könnte bei Verlust, Veränderung oder unbefugter Einsicht passieren? Mit diesen Fragen beginnt eine sinnvolle Bewertung.

Daraus werden passende Maßnahmen abgeleitet: etwa Berechtigungen, Datensicherung, sichere Konfigurationen, Regeln für den Umgang mit Unterlagen und Schulungen. Wichtig ist, dass jemand für Umsetzung und Kontrolle zuständig ist und über den Umgang mit Restrisiken bewusst entschieden wird.

Ein ISMS verbindet die einzelnen Aufgaben

Ein Informationssicherheitsmanagementsystem, kurz ISMS, gibt der Arbeit einen organisatorischen Rahmen. Es verbindet Ziele, Zuständigkeiten, Risikobewertung und die Überprüfung von Maßnahmen. Die ISO/IEC 27001 beschreibt Anforderungen an ein solches System.

Bei anyWARE wurde das ISMS nach ISO/IEC 27001:2022 zertifiziert. Der Geltungsbereich umfasst unseren IT-ServiceDesk mit First-, Second- und Third-Level-Support. Die Erfahrung aus der Einführung prägt auch unseren Blick auf den IT-Betrieb. Die Zertifizierung unseres Unternehmens ersetzt dabei keine eigene Bewertung oder Zertifizierung beim Kunden.

Mit überschaubaren Arbeitsschritten beginnen

Für den Einstieg ist eine Bestandsaufnahme hilfreicher als der Kauf möglichst vieler Produkte. Erfassen Sie die wichtigsten Abläufe, zugehörige Informationen und verantwortliche Personen. Prüfen Sie anschließend, welche Schutzmaßnahmen bereits bestehen und wo dringende Lücken liegen.

Veränderungen im Unternehmen müssen nachgehalten werden. Neue Anwendungen, andere Dienstleister oder zusätzliche Standorte können die Anforderungen beeinflussen. Regelmäßige Überprüfung und verständliche Regeln helfen, die Maßnahmen im Alltag wirksam zu halten.

Technischen Betrieb und fachliche Beratung verbinden

Wir unterstützen Unternehmen bei der technischen Analyse und der Umsetzung vereinbarter Maßnahmen im IT-Betrieb. Für Datenschutz und Informationssicherheitsmanagement beziehen wir bei Bedarf unsere Beteiligung GINDAT ein.

Gesetzliche oder vertragliche Anforderungen werden für das jeweilige Unternehmen gesondert eingeordnet. Ein einzelner Sicherheitscheck oder ein bestimmtes Produkt ist keine pauschale Bestätigung, dass alle Anforderungen erfüllt sind.