Was ist ein ISMS und wo fängt man an?

Information Security Management System — das klingt größer als es ist. Für ein KMU ist es eine Sammlung von Dokumenten und Abläufen, keine Software, die man irgendwo installiert.

ISMS = Information Security Management System. Im Kern: deine Art, Informationssicherheit zu gestalten — beschrieben und gepflegt. Es ist keine Software. Es ist, wie du denkst und handelst.

Die fünf Bausteine

\n
1. Scope. Was fällt unter dein ISMS? Das gesamte Unternehmen, eine bestimmte Geschäftseinheit, nur bestimmte Daten? Das wird festgelegt, bevor du irgendetwas anderes tust.
\n
2. Policy-Ebene. 8–12 Dokumente (Security Policy, Access Control, Incident Response, Acceptable Use, …). Insgesamt ca. 40–80 Seiten.
\n
3. Risikomanagement. Risikoregister mit Risiken, Verantwortlichem, Maßnahme und Restrisiko. Siehe Risikomanagement.
\n
4. Controls. Die Annex-A-Teilmenge, die du umsetzt. Das Statement of Applicability (SoA) gibt den Überblick.
\n
5. PDCA-Zyklus. Plan, Do, Check, Act. Klingt aufwendig, bedeutet in der Praxis: Reviews, Audits, Management-Review, Lessons Learned.
\n

Wo fängt man an?

\n
1. Scope festlegen (1 Tag).
\n
2. Gap-Analyse gegen Annex A (1–3 Tage).
\n
3. Risikoregister, erste Version (2 Tage).
\n
4. Access-Control-Policy + A.9 (1 Woche bis zum fertigen Nachweis).
\n
5. Übrige Policies (2–4 Wochen, parallel zur Beweissammlung).
\n

Die Stolperfalle: Perfektion

Dein ISMS muss nicht perfekt sein. Er muss funktionieren und nachweisbar sein. Version 1 deiner Policies darf 80 % sein. Verbesserung ist Teil des PDCA-Zyklus — es gehört dazu, dass du sie jedes Jahr anpasst.

Siehe auch: ISO 27001-Pillar, PDCA-Zyklus erklärt.