Ein Informationssicherheitsmanagementsystems (ISMS) bietet einem Unternehmen viele Chancen und Vorteile auf einer breiten Ebene. In der Vergangenheit wurde dessen Einführung gelegentlich kritisch betrachtet. Der Fokus wurde dabei häufig und ausschließlich auf zusätzliche Kosten und Aufwände gelegt. Doch diese Zeit scheint vorbei: Die aktuelle Lage in der Informationssicherheit verdeutlicht die Notwendigkeit, ein ISMS einzuführen und permanent weiterzuentwickeln. Wir wollen mit unserem Beitrag den Blick auf das Positive lenken und die Chancen eines ISMS betrachten. Denn wir stellen im Beratungsalltag immer wieder die positiven Begleiterscheinungen eines ISMS fest.
Der Inhalt im Überblick
- 1. Erhöhung der (nicht nur Informations-) Sicherheit
- 2. Mit dem Notfall souverän umgehen (BCM)
- 3. Abgrenzung vom Wettbewerb und zufriedenere Kunden
- 4. Mitarbeitermotivation und -bindung
- 5. Klare Verantwortlichkeiten definieren und dokumentieren
- 6. Prozesse schärfen, Synergien nutzen
- 7. Potentiale für Kostenreduzierungen erkennen
- 8. Compliance erhöhen, den Blick von außen zulassen und PDCA
- 9. Technologische Veralterung durch strukturierten Überblick vermeiden
- 10. Transparente Beurteilung von Technologien und Dienstleister
1. Erhöhung der (nicht nur Informations-) Sicherheit
Ein ISMS ist kein Selbstzweck, sondern möchte ein bestimmtes Ziel erreichen. Die Summe der Maßnahmen macht Unternehmen und Organisationen resilienter, es wird generell ein höheres Niveau an (Informations-) Sicherheit erreicht werden.
Dieses höhere Niveau reduziert nicht nur die Wahrscheinlichkeit eines erfolgreichen Angriffs. Denn selbst im Schadensfall kann ein gut funktionierendes ISMS die monetären Auswirkungen reduzieren. Als Beispiele sind die niedrigeren Kosten bei der Wiederherstellung zu nennen, ebenso wie eine kürzere Wiederanlaufzeit. Andere monetäre Aspekte können sich bei der Einhaltung der Cyberversicherungsbedingungen bemerkbar machen. Sehr offensichtlich sind Umsatzverluste bei Onlineangeboten.
Dabei geht es nicht nur rein um die Informationssicherheit, durch einige Maßnahmen (zum Beispiel physische Sicherheit und Zugangskontrolle) werden gleichzeitig allgemeine Sicherheitsaspekte abgedeckt und die Wahrscheinlichkeit eines Einbruchs reduziert.
2. Mit dem Notfall souverän umgehen (BCM)
Ein IT-Notfall (Cyberangriff, Stromausfall, technischer Ausfall sowie Personal- und Dienstleisterausfall) bedeutet immer eine Stresssituation, in der rasches und gleichzeitig wohlüberlegtes Handeln der Verantwortlichen gefragt ist. Ein Widerspruch? Nicht wenn man gut darauf vorbereitet ist.
Durch ein etabliertes ISMS und das dazugehörige Business Continuity Management (BCM) soll die Informationssicherheit auch in einer solchen Situation gewährleistet sein. Wenn Prozesse und Verantwortlichkeiten sinnvoll geregelt und auch entsprechende Übungen stattgefunden haben, fällt es Unternehmen und Organisationen weitaus leichter, unerwartete Situationen zu überstehen und effektiv auf diese zu reagieren.
3. Abgrenzung vom Wettbewerb und zufriedenere Kunden
Auch dieser Aspekt wird immer wichtiger. Kunden sehen immer genauer auf die Resilienz ihrer Dienstleister, teilweise auch durch die Gesetzgebungen und Regulatorik getrieben. Wer ein gut funktionierendes ISMS betreibt und eine Zertifizierung nach der ISO 27001 vorweisen kann, hat allein dadurch schon Wettbewerbsvorteile, verdeutlicht wird dies beispielsweise in verschiedenen Ausschreibungsprozessen.
Der Vertrauensanker durch eine Zertifizierung sollte idealerweise während der Kundenbeziehung anhalten. Es ist nicht verwunderlich, dass Kunden lieber mit verlässlichen Marktpartnern zusammenarbeiten, dazu gehört beispielsweise auch, dass die Verfügbarkeit der Produkte und Dienstleistungen nicht durch die Informationssicherheit gefährdet wird.
4. Mitarbeitermotivation und -bindung
Nicht nur bei Kunden macht sich ein angemessenes Sicherheitsniveau durch ein ISMS vorteilhaft bemerkbar, auch für existierende und zukünftige Mitarbeitende ist dies mehr und mehr ein entscheidender Faktor.
Und auch bei den Mitarbeitenden geht es um Vertrauen. Zum einen, dass man möglichst ohne störende IT-Sicherheitsvorfälle seine Leistungen erbringen kann. Zum anderen ist auch unter diesem Punkt des Reputationsverlust im Falle eines erfolgreichen und öffentlichkeitswirksamen (aber potentiell durch ein ISMS vermeidbaren) Angriffs zu erwähnen.
5. Klare Verantwortlichkeiten definieren und dokumentieren
Tatsächlich erleben wir es immer wieder, dass Verantwortlichkeiten nicht wahrgenommen werden, weil sie entweder nicht klar definiert, bzw. kommuniziert sind. Beides ist jedoch unerlässlich, um die Aufgaben im Unternehmen abzudecken.
Ein ISMS hilft dabei, Verantwortlichkeiten, Befugnisse und Rollen zu beschreiben und Regeln festzulegen. Dies ist zunächst einmal Aufwand, jedoch profitiert die Organisation davon langfristig.
6. Prozesse schärfen, Synergien nutzen
Dabei werden natürlich auch regelmäßig neue und existierende Prozesse analysiert und evaluiert. Diese Regelmäßigkeit eröffnet die Chance, veraltete Prozesse zu ändern und nachzujustieren. Dabei können Synergien entstehen, die durch eine ganzheitliche Betrachtung hervorgerufen werden.
Ein ISMS unterstützt außerdem eine strukturierte Dokumentation. Prozesse werden abgebildet, die Dokumentation ermöglicht nicht nur beispielsweise sinnvolle Vertretungsregelungen, sondern auch gleichzeitig den Abbau von Kopfmonopolen, die in vielen Organisationen so noch vorhanden sind.
7. Potentiale für Kostenreduzierungen erkennen
Dies ist ein ganz entscheidender Vorteil eines ISMS. In den bisherigen hier abgebildeten Chancen haben wir bereits einige monetäre Aspekte mehr oder weniger deutlich erwähnt. Beispielsweise die Kosten für eine Wiederherstellung, drohenden Umsatzverlust, die Vorteile bei einer Ausschreibung, effizientere Prozesse oder aber auch eine steigende Mitarbeiterbindung.
Grundsätzlich hilft jedes ISMS, Potentiale für Kostenreduzierungen zu erkennen, auch wenn dies nicht die originäre Aufgabenstellung ist. Manchmal aber sind es die Kleinigkeiten. Beispielweise kann eine Überprüfung des Lizenzmanagements dazu führen, dass es noch (teure) Lizenzen für schon längst ausgeschiedene Mitarbeitende gibt.
8. Compliance erhöhen, den Blick von außen zulassen und PDCA
Natürlich liefert ein ISMS Informationen über Prozesse und Kontrollmaßnahmen und erhöht dadurch nicht nur die (Informations-)Sicherheit, sondern auch die Einhaltung der Compliance.
Gleichzeitig ermöglicht der Zertifizierungprozess eine neutrale Sicht eines externen Auditors und verhindert eine gelegentlich wahrzunehmende Betriebsblindheit. Und durch den PDCA-Zyklus wird ein kontinuierlicher Verbesserungsprozess gewährleistet:
9. Technologische Veralterung durch strukturierten Überblick vermeiden
Ein weiterer Vorteil eines ISMS ist es, dass Schwachstellen durch technologische Veralterung reduziert werden können, da strukturierte Übersichten Potentiale erkennen und Systeme idealerweise zur Aktivität mahnen.
Die Gefahren, die in der Praxis von veralteter und teilweise längst vergessener Technologie ausgeht, wird somit zumindest stark eingeschränkt.
10. Transparente Beurteilung von Technologien und Dienstleister
Nicht zuletzt bietet ein ISMS auch eine transparente Beurteilung von Technologien und Dienstleister, idealerweise in Verbindung mit abgestimmten Prozessen. Somit wird sichergestellt, dass Dienstleister zum einen auch einen Beitrag zu Informationssicherheit leisten, zum anderen auch regelmäßig und transparent überprüft werden.
Wer ein ISMS einführen möchte, sollte auch ein Augenmerk auf die sich bietenden Chancen haben. Diese Betrachtungsweise ist empfehlenswert, damit Unternehmen und Organisationen von der Einführung eines ISMS profitieren können.
