Anwendung der Informationssicherheit in Ihrem Unternehmen (ISO27001:2013)

Sie denken, dass sich alles um Daten dreht, aber in Wahrheit geht es um INFORMATIONEN.

Im heutigen digitalen Zeitalter und mit der Einführung der Datenschutz-Grundverordnung haben wir Denkprozesse entwickelt, die sich um die elektronische Speicherung von Daten und die Kontrolle des Zugriffs darauf sowie die Übertragung von Daten ohne Verlust oder Beeinträchtigung drehen.

In der ISO-Norm 27001:2013 ist ein großer Teil der Kontrollen auf die elektronische Speicherung von Daten und den Datenzugriff ausgerichtet, doch der oft vergessene Aspekt dieser Norm ist, dass es sich um ein Managementsystem für Informationssicherheit handelt.

Informationen zur Definition:

Informationen: Dinge, die über ein bestimmtes Thema bekannt sind oder bekannt sein können; kommunizierbares Wissen über etwas.
Information: Der Akt des Informierens oder der Vermittlung von Wissen “Mitteilung”.
Information: Eine Erklärung über eine Straftat, die einem Richter oder Staatsanwalt vorgelegt wird
Information: Die systematische Vermittlung von Wissen; Erziehung, Ausbildung.
Information: Das Schaffen von Form; das Verleihen einer bestimmten Eigenschaft oder eines bestimmten Merkmals; Formen, Beleben.
Information: Jede eindeutige abstrakte Information, wobei die kleinstmögliche Einheit das Bit ist.
Information: Eine handschriftliche Notiz oder eine Sammlung von Notizen in einem Buch.
Information: Ein Text.
Information: Eine E-Mail.
Information: Mundpropaganda.
Informationen: Ein Foto

Die obige Liste ist nur eine kleine Darstellung des Themas Information, die Liste könnte buchstäblich ewig weitergehen, also fassen wir sie zusammen:

Information ist alles, was verwendet werden kann, um Wissen an eine andere Partei zu übermitteln

Erfinden wir also eine kleine Geschichte über die Sicherheit von Informationen.

Fran arbeitet für ein Elektronikunternehmen, das hochwertige Komponenten für die Avionikindustrie herstellt und nach ISO 27001 zertifiziert ist.

Guy ist der Vertriebsleiter der gleichen Firma.

Eines Tages sieht Fran, wie Guy in sein rotes Buch schreibt. Guy erklärt ihr, dass er dieses Buch seit Jahren besitzt, während er für mehrere Unternehmen gearbeitet hat, und dass es alle seine Branchenkontakte enthält und er es mit seinem Leben schützt, da es so wertvoll ist, dass er die Informationen nicht in seinem Telefon oder Laptop aufbewahrt, da er diese zurückgeben muss, wenn er geht. Er erzählt ihr, dass es Kontaktdaten, Informationen über Hobbys und Interessen, die Namen von wichtigen Personen und relevante Notizen sowie die Auftragshistorie jeder Firma enthält. Als er die Arbeit zur üblichen Zeit um 18 Uhr verlässt, nimmt Guy Fran mit nach Hause. Als er ins Auto steigt, legt er sein rotes Buch ins Handschuhfach, auf dem Heimweg sie rufen am supermarket, Guy erklärt, er halte immer an, um eine Flasche Wein zu kaufen. Er parkt sein Auto am anderen Ende des Parkplatzes, weil er keine Türklingeln mag und es dort ruhiger ist.

Später in der Woche unterhält sich Fran mit ihrer Freundin, die weiß, wo sie arbeitet (Information). Fran erzählt ihr die Geschichte über das rote Buch und den Heimweg, da sie sich Sorgen über die Auswirkungen der Datenschutzgrundverordnung im Zusammenhang mit dem Buch macht (Information), die Freundin erzählt es ihrer anderen Hälfte beim Abendessen (Information). Die andere Hälfte, die für ein ähnliches Unternehmen arbeitet, erzählt ihrem Chef die Geschichte, weil sie so dumm war (Information). Der Chef beauftragt einen Kriminellen, Guy zu beobachten und ihm detaillierte Informationen über seine Bewegungen und Fotos von seinem Auto zu liefern (Information). Der Kriminelle wird dann beauftragt, in das Auto einzubrechen und das rote Buch zu stehlen, das er gegen eine vereinbarte Summe an den Chef weitergibt (Information).

Wir haben es hier eindeutig mit einer Geschichte über Industriespionage zu tun. Die Frage, die wir uns stellen müssen, ist die Sicherheit von Informationen in einer Welt, in der wir es mit Menschen zu tun haben. Der Verlust von Informationen war in diesem Fall auf eine unschuldige Unterhaltung zwischen Freunden zurückzuführen, die zu einer kriminellen Handlung eskalierte. Das rote Buch ist offensichtlich von großem Wert, das ISO27001-Managementsystem des Unternehmens ist auf elektronische Daten ausgerichtet, und niemand wusste von der Existenz des Buches, nehmen wir an, sie haben nicht gefragt und nichts gewagt. Der Mann saß in einem
*** Übersetzt mit www.DeepL.com/Translator (kostenlose Version) ***

Bei der Planung Ihres Managementsystems für die Informationssicherheit müssen Sie alle Formen von Informationen berücksichtigen. Diese werden als Informationswerte bezeichnet, und Sie müssen über ein Register aller Informationswerte verfügen sowie über Kontrollen darüber, wie diese gespeichert werden und wer Zugriff auf sie hat.

ISO27001:2013 besteht nicht nur aus der 10-Klausel-Struktur, sondern auch aus einem Anhang, “Anhang A”. Dieser Anhang enthält 144 Kontrollanforderungen, darunter auch die Kontrolle von Informationsgütern. ZEBSOFT hat die Anwendbarkeitserklärung für diese 144 Kontrollen in seine Funktionalität integriert, um die Verwaltung dieser 144 Kontrollen einfach und effektiv zu gestalten.