Informationssicherheit im Mittelstand von der Einzelmaßnahme zum wirksamen ISMS

Fachbeitrag von Julian Köhn, Geschäftsführer von Kopexa

 

Informationssicherheit wird wirksam, wenn technische Schutzmaßnahmen zu den Geschäftsprozessen passen und ihre Umsetzung überprüft wird. Ein ISMS verbindet dafür Risiken, Verantwortlichkeiten und Nachweise. Besonders deutlich wird dieser Zusammenhang bei externen IT-Dienstleistungen und beim Wiederanlauf nach einem Vorfall.

Der KN-Talk zu Cybercrime am 24. September in Kiel brachte Geschäftsrisiken und technische Sicherheit zusammen. Auch ich war als Teilnehmer dabei. Für die betriebliche Umsetzung ist entscheidend, ob Geschäftsführung und IT ein gemeinsames Bild davon haben, welche Abläufe geschützt werden müssen und welche Maßnahmen dafür erforderlich sind.

Eine Firewall, eine Datensicherung oder eine Sicherheitsrichtlinie erfüllt jeweils eine bestimmte Aufgabe. Ob das Zusammenspiel trägt, lässt sich erst beurteilen, wenn die Abhängigkeiten bekannt sind. Ein technisch wiederhergestellter Server hilft beispielsweise wenig, wenn die Anwendung noch einen ausgefallenen Identitätsdienst benötigt oder der Zugang des zuständigen Dienstleisters nicht verfügbar ist.

Ein ISMS schafft den Zusammenhang zwischen Risiko und Umsetzung

Ein Informationssicherheitsmanagementsystem, kurz ISMS, organisiert den Umgang mit Informationssicherheitsrisiken. ISO/IEC 27001 beschreibt Anforderungen an seinen Aufbau, Betrieb und seine fortlaufende Verbesserung. Dazu gehört, Sicherheitsmaßnahmen im Kontext der Organisation zu betrachten. Eine Zertifizierung ist weder eine Garantie gegen Angriffe noch Voraussetzung dafür, mit dieser Arbeit zu beginnen.

Die fachliche Kette beginnt beim Geschäftsprozess: Welche Informationen und Ressourcen benötigt er? Welche Ereignisse können Vertraulichkeit, Integrität oder Verfügbarkeit beeinträchtigen? Welche Maßnahmen werden beschlossen, wer setzt sie um und wie wird ihre Wirksamkeit überprüft? Erst die Antworten machen aus einer Sammlung von Dokumenten eine steuerbare Aufgabe.

Dabei müssen Risiko und Maßnahme unterscheidbar bleiben. Ein überflüssiger Administrationszugang ist eine Schwachstelle. Die unbefugte Änderung oder Einsicht in geschäftskritische Daten ist ein mögliches Risikoszenario. Der Entzug der Berechtigung ist eine Maßnahme. Ob sie erfolgreich war, lässt sich durch eine erneute Prüfung der Berechtigungen belegen.

NIS2 verbindet Sicherheitsmaßnahmen mit Leitungsverantwortung

Welche Unternehmen betroffen sind und sich registrieren müssen, erläutert Dr. Oliver Daum in seinem DiWiSH-Beitrag zur NIS2-Betroffenheit und Registrierung. Diese rechtliche Prüfung ist von der betrieblichen Umsetzung zu unterscheiden. Eine Registrierung allein sagt noch nichts darüber aus, ob Sicherheitsmaßnahmen im Alltag funktionieren.

Für besonders wichtige und wichtige Einrichtungen verlangt § 30 BSIG geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Dazu gehören unter anderem der Umgang mit Sicherheitsvorfällen, die Betriebsfortführung, Lieferkettensicherheit und die Bewertung der Wirksamkeit. Die Einhaltung ist zu dokumentieren. § 38 BSIG verpflichtet die Geschäftsleitungen dieser Einrichtungen zur Umsetzung und Überwachung sowie zur regelmäßigen Schulung.

Ein ISMS kann diese Arbeit strukturieren. Ob damit sämtliche anwendbaren gesetzlichen Anforderungen erfüllt werden, muss gesondert beurteilt werden; aus einem ISO-Zertifikat folgt das nicht automatisch. Auch Unternehmen außerhalb dieses Anwendungsbereichs können dieselbe organisatorische Struktur nutzen, um ihre eigenen Risiken nachvollziehbar zu steuern.

Lieferantenbeziehungen müssen in der Risikobetrachtung sichtbar sein

Der im Oktober bekannt gewordene CPR-Vorfall in Dänemark zeigt, warum berechtigte Zugänge berücksichtigt werden müssen. Laut Ministeriumsmitteilung vom 5. Oktober wurde der rechtmäßige Abfragezugang eines privaten Unternehmens missbraucht. Unbefugte erhielten dadurch Zugriff auf Angaben zu rund 8,8 Millionen registrierten Personen, einschließlich Verstorbener und Ausgewanderter. Die Untersuchung des Vorfalls war noch nicht abgeschlossen.

Für das eigene Risikomanagement ergibt sich daraus eine Prüfaufgabe, keine Aussage über eine bewiesene Angriffsursache: Welche Daten und Systeme sind über externe Zugänge erreichbar? Wie weit reichen deren Berechtigungen? Wer erkennt auffällige Nutzung und wer kann den Zugang sperren? Die Antworten gehören zur Lieferantenbeziehung und zum betroffenen Prozess.

Eine Lieferantenbewertung sollte sich deshalb an Leistung, Zugriff und Abhängigkeit orientieren. Ein Anbieter mit administrativem Zugang zu einem zentralen System erfordert eine andere Betrachtung als ein Dienstleister ohne solchen Zugriff. Fragebögen liefern Informationen; offene Antworten müssen bewertet und erforderliche Verbesserungen nachverfolgt werden. Ein ausgefüllter Fragebogen allein belegt noch keine wirksame Absicherung.

Die BIA übersetzt Geschäftsfolgen in Wiederanlaufanforderungen

Eine Business-Impact-Analyse, kurz BIA, untersucht die Folgen einer Unterbrechung im Zeitverlauf. Sie hilft, zeitkritische Geschäftsprozesse und ihre Abhängigkeiten zu bestimmen. Eine Risikoanalyse betrachtet dagegen mögliche Gefährdungen und deren Bewertung. Beide Perspektiven ergänzen sich: Die BIA liefert Anforderungen an die Geschäftsfortführung, die Risikobetrachtung unterstützt die Auswahl von Vorsorge und Behandlung.

Der BSI-Standard 200-4 zum Business Continuity Management unterscheidet unter anderem die maximal tolerierbare Ausfallzeit, die geforderte Wiederanlaufzeit und den maximal zulässigen Datenverlust. Die Wiederanlaufzeit muss kürzer als die maximal tolerierbare Ausfallzeit sein. Bei digitalen Daten beschreibt der zulässige Datenverlust, wie alt die wiederhergestellten Daten höchstens sein dürfen.

Ein vereinfachtes, ausdrücklich fiktives Beispiel: Für die Auftragsbearbeitung werden vier Stunden als geforderte Wiederanlaufzeit festgelegt; die wiederhergestellten Daten dürfen höchstens eine Stunde an Änderungen verlieren. Das sind Beispielwerte, keine allgemeingültigen Vorgaben. Benötigt der Test zehn Stunden oder fehlt ein ganzer Tag an Aufträgen, wird die Anforderung verfehlt. Zu prüfen sind dabei Daten, Anwendung und erforderliche Abhängigkeiten gemeinsam.

Wiederanlauf und Datenabfluss sind dabei verschiedene Probleme. Beim Berliner Cyberangriff wurden nach offiziellen Angaben Daten kopiert und am 4. September veröffentlicht; zwei betroffene Senatsverwaltungen waren bereits am 14. August vorsorglich vom Netz getrennt worden. Eine Datensicherung kann eine Wiederherstellung unterstützen, sie macht die Veröffentlichung entwendeter Informationen aber nicht rückgängig.

Wirksamkeit braucht nachvollziehbare Ergebnisse

Ein ISMS sollte erkennen lassen, warum eine Maßnahme erforderlich ist, welches Risiko sie behandelt und wer ihr Ergebnis überprüft. Für einen Wiederherstellungstest können das der verwendete Sicherungsstand, die gemessene Dauer, die geprüften Funktionen und die aufgetretenen Abweichungen sein. Für eine Zugriffsprüfung sind es die geprüften Konten, die Entscheidung über ihre Berechtigungen und die tatsächlich vorgenommenen Änderungen.

Aus Abweichungen entstehen Aufgaben mit Zuständigkeit und Termin. Die verantwortlichen Personen beurteilen anschließend, ob die Umsetzung ausreicht oder weiterer Handlungsbedarf besteht. Eine erfolgreich abgeschlossene Aktualitätsprüfung eines Dokuments ist dabei etwas anderes als der Nachweis, dass die darin beschriebene Maßnahme tatsächlich durchgeführt wurde.

Für die Geschäftsleitung ist eine verdichtete Sicht sinnvoll: Welche wesentlichen Risiken sind offen? Welche Maßnahmen verzögern sich? Welche Tests haben ihr Ziel verfehlt? Auf dieser Grundlage lassen sich Ressourcen und Prioritäten entscheiden. Eine akzeptierte Restrisikoposition muss ebenfalls nachvollziehbar sein; das bloße Verschieben einer Aufgabe ersetzt diese Entscheidung nicht.

Mit einem kritischen Prozess beginnen

Für einen ersten Durchlauf eignet sich ein kritischer Geschäftsprozess mit seinen wichtigsten Systemen und Dienstleistern. Beschreiben Sie seine Abhängigkeiten, bewerten Sie die relevanten Risiken und legen Sie die Anforderungen an den Wiederanlauf fest. Prüfen Sie bestehende Maßnahmen und vereinbaren Sie einen Test. Die Ergebnisse werden gemeinsam mit offenen Aufgaben und notwendigen Entscheidungen dokumentiert.

Der Leitfaden zum Informationssicherheitsmanagement bietet einen Einstieg in die ISMS-Struktur. Der nächste betriebliche Schritt ist jedoch immer konkret: Ein bekanntes Risiko erhält eine begründete Behandlung, eine verantwortliche Person und ein überprüfbares Ergebnis. Mit weiteren Prozessen wird dieser Zusammenhang schrittweise erweitert.