Tag Archives: ISO 27001

Wissenschaft Technik Umwelt

Anmeldefrist läuft. Nur noch wenige Tage. Managementsysteme 2018 in Dortmund

22. November 2018, DASA in Dortmund

Anmeldefrist läuft. Nur noch wenige Tage. Managementsysteme 2018 in Dortmund

Jetzt schnell anmelden! https://lnkd.in/d9qJ38e

Heute möchten wir Sie nochmals herzlich ein zur Lloyd’s Register Veranstaltung ‚Managementsysteme 2018‘ einladen.

Nutzen Sie jetzt kurzfristig die Chance sich anzumelden.
Während dieser Veranstaltung werden Sie die neuesten Informationen aus der Welt der Managementsysteme, aktuelle Entwicklungen und Trends erfahren.

Ein Themenauszug:

– ISO 50.001; Die neue ISO 50.001 wurde gerade veröffentlicht. Verschaffen Sie sich einen Überblick über die neue Anforderung der Norm und wie Sie Fallstricke bei der Implementierung vermeiden können. Welche Auswirkungen hat die neue ISO 50003 und wie sollte man reagieren?
– ISO 45.001; die OHSAS-Nachfolgenorm ist da. Wie kann ich die neue Norm optimal nutzen? Welche Vorteile bietet sie?
– ISO 27001 / DSGVO; Die Datenschutz-Grundverordnung ist wirksam, der Datenschutz wurde gestärkt, aber die Unsicherheit und das Risiko hinsichtlich Daten und gespeichertem Know-how nehmen zu. Wie stelle ich eine gute Informationssicherheit innerhalb der Organisation sicher? Wie hilft die neue ISO 27001?
– Schließlich werden auch integrierte Managementsysteme betrachtet; Wie integriere ich mein Managementsystem optimal für die Zukunft? Melden Sie sich jetzt an!
Anmeldung : http://www.lrqa.de/events/Managementsysteme-2018.aspx

Wann?
Donnerstag, 22. November 2018, 10.00 – 17.00 Uhr
Wo?
DASA – Arbeitsweltausstellung in Dortmund
Friedrich-Henkel-Weg 1-25
44149 Dortmund
Weitere Informationen und Anmeldung unter: https://lnkd.in/d9qJ38e

Lloyd´s Register Deutschland GmbH ( http://www.lrqa.de ) wurde 1985 gegründet und ist eine der international führenden Gesellschaften für die Auditierung von Managementsystemen und Risikomanagement. Lloyd´s bietet Schulungen und Zertifizierung von Managementsystemen mit Schwerpunkten in folgenden Bereichen: Qualität, Umweltschutz, Arbeitssicherheit, Energiemanagement, Auditierung von Lieferketten. Mit mehr als 45 Akkreditierungen und Niederlassungen in 40 Ländern kann Lloyd´s Auditierungen in 120 Ländern durchführen. Weltweit betreuen 2.500 Auditoren mehr als 45.000 Kunden. Lloyd´s Register wurde 1760 als erste Gesellschaft zur Schiffsklassifizierung gegründet und bietet heute Dienstleistungen im Bereich Risikomanagement. Die Lloyd´s Register Gruppe ist ein gemeinnütziges Unternehmen gemäß englischem Charity-Recht, d.h. die Gewinne werden für eine gemeinnützige Stiftung verwendet bzw. wieder direkt ins Unternehmen investiert. Hierdurch ist Lloyd´s register wirtschaftlich unabhängig. Weiter Information erhalten Sie durch info@lrqa.de oder 0221- 96757700. Den Lloyd´s -Newsletter erhalten Sie unter: http://www.lrqa.de/kontakt-und-info/news-abonnieren.aspx Weitere Infos unter: http://www.lrqa.de/standards-und-richtlinien/angebot-anfordern.aspx

Kontakt
Lloyd´s Register Deutschland GmbH
Carl Ebelshäuser
Adolf Grimme Allee 3
50829 Köln
+49 (0)221 96757700
info@lrqa.de
http://www.lrqa.de

Computer IT Software

Daten – die Chancen und Risiken der neuen digitalen Welt

Daten - die Chancen und Risiken der neuen digitalen Welt

https://lnkd.in/d9qJ38e

„Daten sind das Öl der Zukunft“ so optimistisch beurteilen Experten die Entwicklung der schnell anlaufenden Digitalisierung. Die Verbindung von internetgetriebenen, datengesteuerten Prozessen, vom digitalen Marketing bis hin zu einer datengesteuerten Produktion lassen Phantasien wahr werden. Aber wie immer, wo große Chancen locken, sind ebenso große Risiken nicht weit.

Datendiebstähle, mangelnder persönlicher Datenschutz des Einzelnen, Verlust von betrieblichem know – how, Gefahr des ungeplanten betrieblichen Stillstands sind nur einige der neuen Gefahren, die viele in der Vergangenheit falsch eingeschätzt haben. Und das rächt sich jetzt. Spektakuläre Datenlecks sind längst an der Tagesordnung und Verluste in Millionenhöhe nicht mehr ungewöhnlich. Schlimmer noch – die tausende Angriffe von Hackern auf die betriebliche IT – Architekturen von Mittelständlern, die meistens überhaupt nicht auffallen, deren Schaden aber mindestens ebenso verheerend ist. Wichtig ist es also, sich jetzt im Bereich der IT – Sicherheit ebenso schnell fortzuentwickeln, wie in der Digitalisierung von Verwaltungs- und Produktionsprozessen. Aber ebenso wie die Digitalisierung, stellt die Informationssicherheit in all ihren Facetten und Fallstricken, für viele Betriebe völliges Neuland dar. Hat man sich bisher oftmals hinsichtlich IT auf das Outsourcing von Leistungen an geeignete Dienstleister beschränkt, so stellt man jetzt fest, dass das Thema eine ganz andere Priorität in der Unternehmenssteuerung einnehmen wird. Worauf sollte man achten, welche Fehler werden oft gemacht, wie sollte man das Thema angehen? Diese Fragen rücken in das Zentrum der Entscheidungen. Werden Daten zur Lebensader eines Betriebes, so muss man sie auch dementsprechend schützen.
Lloyd´s Register hat aus diesem Grunde eine Reihe von Untersuchungsergebnissen aus verschiedenen Quellen und eigener Erfahrung zusammengetragen, die die Entscheidungsprozesse in den Unternehmen unterstützen sollen. Anhand von verschiedenen Checklisten kann der Entscheider sich ein strukturiertes Bild über die Sicherheitssituation seines betrieblichen Umfeldes machen. Dann kann er darauf basierend weitere Schritte planen. Die Ergebnisse der Untersuchungen können über folgenden Link, kostenfrei, heruntergeladen werden. http://www.lrqa.de/informationssicherheit/informationssicherheit-entwicklungen-praxis.aspx
Bei weiteren Fragen steht Lloyd´s Register gerne zur Verfügung. Sie erreichen uns unter:
http://www.lrqa.de/kontakt-und-info/anfrage-an-lrqa.aspx
oder Carl.Ebelshaeuser@lrqa.com

Bitte beachten Sie: Am 22. November veranstaltet Lloyd´s Register den Tag der Managementsysteme 2018 in Dortmund: https://lnkd.in/d9qJ38e

Lloyd´s Register Deutschland GmbH ( http://www.lrqa.de ) wurde 1985 gegründet und ist eine der international führenden Gesellschaften für die Auditierung von Managementsystemen und Risikomanagement. Lloyd´s bietet Schulungen und Zertifizierung von Managementsystemen mit Schwerpunkten in folgenden Bereichen: Qualität, Umweltschutz, Arbeitssicherheit, Energiemanagement, Auditierung von Lieferketten. Mit mehr als 45 Akkreditierungen und Niederlassungen in 40 Ländern kann Lloyd´s Auditierungen in 120 Ländern durchführen. Weltweit betreuen 2.500 Auditoren mehr als 45.000 Kunden. Lloyd´s Register wurde 1760 als erste Gesellschaft zur Schiffsklassifizierung gegründet und bietet heute Dienstleistungen im Bereich Risikomanagement. Die Lloyd´s Register Gruppe ist ein gemeinnütziges Unternehmen gemäß englischem Charity-Recht, d.h. die Gewinne werden für eine gemeinnützige Stiftung verwendet bzw. wieder direkt ins Unternehmen investiert. Hierdurch ist Lloyd´s register wirtschaftlich unabhängig. Weiter Information erhalten Sie durch info@lrqa.de oder 0221- 96757700. Den Lloyd´s -Newsletter erhalten Sie unter: http://www.lrqa.de/kontakt-und-info/news-abonnieren.aspx Weitere Infos unter: http://www.lrqa.de/standards-und-richtlinien/angebot-anfordern.aspx

Kontakt
Lloyd´s Register Deutschland GmbH
Carl Ebelshäuser
Adolf Grimme Allee 3
50829 Köln
+49 (0)221 96757700
info@lrqa.de
http://www.lrqa.de

Wirtschaft Handel Maschinenbau

Einladung Lloyd´s Register Managementsysteme 2018 in Dortmund, 22.11.2018

DASA – Arbeitsweltausstellung in 44149 Dortmund, Friedrich-Henkel-Weg 1-25

Einladung Lloyd´s Register Managementsysteme 2018 in Dortmund, 22.11.2018

www.lrqa.de

Managementsysteme 2018
Neues aus der Welt der Managementsysteme, aktuelle Entwicklungen/Trends, konstruktive Diskussionen, Ausblick auf die Zukunft, Optimierung der Systeme und natürlich die DASA, Deutschland größtes und auch spannendste Museum zu Arbeitsschutz und Arbeitswelt in Dortmund.

Themen
ISO 50.001- Die neue 50001 ist veröffentlicht. Was ist jetzt zu tun? Einen Überblick über die neuen Anforderung der Energienorm und wie man Fallstricke vermeidet.
ISO 45001- Die OHSAS – Nachfolgenorm ist da. Wie hole ich den optimalen Nutzen aus der neuen Norm. Was muss ich beachten und wie mache ich daraus einen spürbaren Erfolg?
ISO 27001/DSGVO – Die DSGVO ist wirksam, der Datenschutz gestärkt aber die Unsicherheit und Gefahr für Daten und Know – How steigt.
Integrierte Managementsysteme – Wie optimiere ich die Managementsysteme im Hinblick auf die neuen Möglichkeiten der Integration? Wo liegen Kosten – und Vereinfachungspotentiale? Worauf muss ich achten?
Und viele andere hochaktuelle Themen, die wir Ihnen in Kürze im Detail vorstellen.

Wo?
DASA – Arbeitsweltausstellung in Dortmund – DASA? DASA!
Die DASA ist Deutschlands größte Arbeitswelt Ausstellung. Das einzigartige, interaktive Museum zu Arbeitsschutz und Arbeitswelt. Spannende Inhalte, interaktive Präsentation, hochaktuell und natürlich mit jeder Menge Bezug zur betrieblichen Praxis.

DASA – Arbeitsweltausstellung in Dortmund
Friedrich-Henkel-Weg 1-25
44149 Dortmund
www.dasa-dortmund.de
Wann?
Donnerstag, 22. November 2018
vsl. 10:00 – 17:00 Uhr.
Dauer
1 Tag
Leistungen
Hochaktuelle Präsentationen und Diskussion zu den novellierten Normen, Verpflegung, Führung durch die DASA – Arbeitsweltenausstellung.
Teilnahmegebühr
99 EUR zzg. MwSt,

Anmeldung und Information unter: http://www.lrqa.de/events/Managementsysteme-2018.aspx

Lloyd´s Register Deutschland GmbH ( http://www.lrqa.de ) wurde 1985 gegründet und ist eine der international führenden Gesellschaften für die Auditierung von Managementsystemen und Risikomanagement. LRQA bietet Schulungen und Zertifizierung von Managementsystemen mit Schwerpunkten in folgenden Bereichen: Qualität, Umweltschutz, Arbeitssicherheit, Energiemanagement, Auditierung von Lieferketten. Mit mehr als 45 Akkreditierungen und Niederlassungen in 40 Ländern kann LRQA Auditierungen in 120 Ländern durchführen. Weltweit betreuen 2.500 Auditoren mehr als 45.000 Kunden. LRQA gehört zur Lloyd´s Register Gruppe. Lloyd“s Register wurde 1760 als erste Gesellschaft zur Schiffsklassifizierung gegründet und bietet heute Dienstleistungen im Bereich Risikomanagement. Die Lloyd´s Register Gruppe ist ein gemeinnütziges Unternehmen gemäß englischem Charity-Recht, d.h. die Gewinne werden für eine gemeinnützige Stiftung verwendet bzw. wieder direkt ins Unternehmen investiert. Hierdurch ist LRQA wirtschaftlich unabhängig. Weiter Information erhalten Sie durch info@lrqa.de oder 0221- 96757700. Den LRQA-Newsletter erhalten Sie unter: http://www.lrqa.de/kontakt-und-info/news-abonnieren.aspx Weitere Infos unter: http://www.lrqa.de/standards-und-richtlinien/angebot-anfordern.aspx

Kontakt
Lloyd´s Register Deutschland GmbH
Carl Ebelshäuser
Adolf Grimme Allee 3
50829 Köln
+49 (0)221 96757700
info@lrqa.de
http://www.lrqa.de

Computer IT Software

Lloyd´s Register Informationsveranstaltung DSGVO, ISO 27001- 2018

29. August 2018, 10.30- 13.00 Uhr,Lloyd´s Register Deutschland GmbH, Adolf-Grimme-Allee 3, 50829 Köln

Lloyd´s Register Informationsveranstaltung  DSGVO, ISO 27001- 2018

www.lrqa.de

Lloyd“s Register Informationsveranstaltung
DSGVO, ISO 27001- 2018
Donnerstag, 29. August 2018
Ort:

Adolf-Grimme-Allee 3, 50829 Köln

Veranstaltungsort:

Lloyd´s Register Deutschland GmbH

Die DSGVO und die ISO 27001 werden thematisch den Schwerpunkt dieser Informationsveranstaltung bilden. Unsere Expertin Joyce van Luijn wird einen praxisorientierten Überblick über die neue Lage im Bereich Datenmanagement geben.
Wann?
29. August 2018, 10.30- 13.00 Uhr
Wo?
Lloyd´s Register Deutschland GmbH
Adolf-Grimme-Allee 3
50829 Köln
Die Teilnahme ist kostenfrei. Um verbindliche Anmeldung wird gebeten unter Carl.Ebelshaeuser@lrqa.com. Die Teilnehmeranzahl ist begrenzt.

Über Lloyd´s Register

Wir haben 1760 als Schiffsklassifizierungsgesellschaft begonnen. Heutzutage sind wir ein weltweit führender Anbieter technischer Unternehmensdienstleistungen und Technologien und verbessern die Sicherheit und Leistung kritischer Infrastrukturen unserer Kunden in über 75 Ländern, weltweit. Mit unseren Gewinnen finanzieren wir die Lloyds Register Foundation, eine wohltätige Stiftung, die die Wissenschafts- und Technik-bezogene Forschung, Ausbildung und unser öffentliches Engagement unterstützt. All das unterstützt uns bei unserem Ziel, das uns tagtäglich antreibt: Zusammen für eine sichere Welt zu arbeiten.
Wir wissen, dass in einer immer komplexeren Welt, die mit Daten und Meinungsäußerungen überfrachtet ist, Technologie allein nicht ausreicht, um erfolgreich zu sein. Unsere Kunden benötigen einen erfahrenen Partner. Einen Partner, der genau zuhört, sich nicht ablenken lässt und sich auf das konzentriert, was für ihn und die Kunden wirklich wichtig ist. Unsere Ingenieure und technischen Experten engagieren sich für Sicherheit. Das bringt die Verpflichtung mit sich, neuen Technologien positiv zu begegnen und Leistungssteigerungen zu fördern. Wir prüfen die Bedürfnisse unserer Kunden mit Sorgfalt und Empathie und nutzen dann unsere Expertise und unsere über 250 Jahre Erfahrung, um allen eine intelligente Lösung zu bieten. Denn es gibt Dinge, die Technologie nicht ersetzen kann.
Weiter Information erhalten Sie durch info@lrqa.de oder 0221- 96757700. Den Lloyd´s -Newsletter erhalten Sie unter: http://www.lrqa.de/kontakt-und-info/news-abonnieren.aspx Weitere Infos unter: http://www.lrqa.de/standards-und-richtlinien/angebot-anfordern.aspx

Kontakt
Lloyd´s Register Deutschland GmbH
Carl Ebelshäuser
Adolf Grimme Allee 3
50829 Köln
+49 (0)221 96757700
info@lrqa.de
http://www.lrqa.de

Wirtschaft Handel Maschinenbau

Das neue Trainingsprogramm Lloyd´s Register- jetzt einfach downloaden!

Das neue Trainingsprogramm Lloyd´s Register- jetzt einfach downloaden!

http://www.lrqa.de/training/Trainingsprogramm-download.aspx

Training
Erfolgreiche Managementsysteme erfordern qualifizierte Mitarbeiter. Ob durch die Teilnahme an einem unserer öffentlichen Trainings oder in einem individuellen innerbetrieblichen Training bei Ihnen im Unternehmen, unsere praxisorientierten Trainings unterstützen Sie auf dem Weg zu einem erfolgreichen Managementsystem.

Unser Trainingsangebot
Planen Sie Ihre Weiterbildung in den Bereichen Qualität, Umwelt, Energie, Arbeitsschutz und Gesundheit. Hier finden Sie alle Informationen: http://www.lrqa.de/training/traininganfrage.aspx

Innerbetriebliche Trainings
Sie möchten mehrere Mitarbeiter schulen? Wir bieten alle Trainings auch bei Ihnen vor Ort an. Lernen Sie die Vorteile kennen.

CQI IRCA Approved Training Partner
Internationale Anerkennung
LRQA ist vom CQI (Chartered Quality Institute) und IRCA (International Register of Certificated Auditors) als Schulungsanbieter anerkannt. So haben Sie die Sicherheit, ein Training zu besuchen, das sowohl technisch als auch methodisch internationale Anforderungen erfüllt.

Fördermöglichkeiten
Weiterbildung zahlt sich aus und wird häufig von öffentlicher Hand unterstützt. Auch für unsere Trainings gibt es eine Vielzahl von Fördermöglichkeiten.

Verpassen Sie kein Angebot
Wir versenden monatlich aktuelle Informationen über Termine, Angebote und Aktionen im Bereich Training. Melden Sie sich jetzt an und bleiben Sie informiert: http://www.lrqa.de/training/traininganfrage.aspx

Über Lloyd´s Register

Wir haben 1760 als Schiffsklassifizierungsgesellschaft begonnen. Heutzutage sind wir ein weltweit führender Anbieter technischer Unternehmensdienstleistungen und Technologien und verbessern die Sicherheit und Leistung kritischer Infrastrukturen unserer Kunden in über 75 Ländern, weltweit. Mit unseren Gewinnen finanzieren wir die Lloyds Register Foundation, eine wohltätige Stiftung, die die Wissenschafts- und Technik-bezogene Forschung, Ausbildung und unser öffentliches Engagement unterstützt. All das unterstützt uns bei unserem Ziel, das uns tagtäglich antreibt: Zusammen für eine sichere Welt zu arbeiten.
Wir wissen, dass in einer immer komplexeren Welt, die mit Daten und Meinungsäußerungen überfrachtet ist, Technologie allein nicht ausreicht, um erfolgreich zu sein. Unsere Kunden benötigen einen erfahrenen Partner. Einen Partner, der genau zuhört, sich nicht ablenken lässt und sich auf das konzentriert, was für ihn und die Kunden wirklich wichtig ist. Unsere Ingenieure und technischen Experten engagieren sich für Sicherheit. Das bringt die Verpflichtung mit sich, neuen Technologien positiv zu begegnen und Leistungssteigerungen zu fördern. Wir prüfen die Bedürfnisse unserer Kunden mit Sorgfalt und Empathie und nutzen dann unsere Expertise und unsere über 250 Jahre Erfahrung, um allen eine intelligente Lösung zu bieten. Denn es gibt Dinge, die Technologie nicht ersetzen kann.
Weiter Information erhalten Sie durch info@lrqa.de oder 0221- 96757700. Den Lloyd´s -Newsletter erhalten Sie unter: http://www.lrqa.de/kontakt-und-info/news-abonnieren.aspx Weitere Infos unter: http://www.lrqa.de/standards-und-richtlinien/angebot-anfordern.aspx

Kontakt
Lloyd´s Register Deutschland GmbH
Carl Ebelshäuser
Adolf Grimme Allee 3
50829 Köln
+49 (0)221 96757700
info@lrqa.de
http://www.lrqa.de

Computer IT Software

ISO 27001 – Sicherheit ist das Wichtigste

Und über was sollten Sie sich im Klaren sein, wenn Sie die ISO 27001 implementieren?

ISO 27001 - Sicherheit ist das Wichtigste

Downl:http://www.lrqa.de/standards-und-richtlinien/iso-iec-27001/downloads/iso-27001-leitfaden.aspx

Und über was sollten Sie sich im Klaren sein, wenn Sie die ISO 27001 implementieren?

Egal ob Sie interne Informationsmanagementsysteme leiten oder für die Informationssicherheit verantwortlich sind oder ob Sie IT – Produkte und Dienstleistungen für Ihre Kunden entwickeln – effektive Informationssicherheitssysteme ( ISMS) sind wichtig. Sie helfen Ihnen die richtigen Kontrollen, Systeme und Produkte zu entwickeln, um die ständig steigenden Anforderungen Ihrer Kunden und Partner erfüllen zu können. Die ISO 27001 stellt sicher, dass die Daten von „interessierten Dritten“ wie zum Beispiel ihre Kunden, Mitarbeiter, Handelspartner und ganz allgemein die Gesellschaft durch adäquate Kontrollmechanismen geschützt sind. Ihre Anforderungen zu verstehen- das ist der Schlüssel für die Implementierung Ihres Managementsystems. Eine ISMS Zertifizierung nach ISO 27001 kann Ihnen helfen Ihren Handelspartnern und Kunden zu verdeutlichen, dass Sie Informationssicherheit ernst nehmen. Es ist ein deutlicher Beweis, dass eine Organisation ihr Commitment zur Informationssicherheit ernst nimmt. Dieser Artikel möchte Hilfestellung und Ratgeber für diejenigen sein, die sich mit der Zertifizierung ihres Unternehmens hinsichtlich eines ISMS – Systems befassen. Die Artikel wurde von Jonathan Alsop, LRQA ISO 27001 Lead Auditor und Rob Acker, LRQA ICT Technical Manager verfasst.
Einführung zur Implementierung eines ISMS – Systems.
Die UK FSA ( Financial Services Authority – die Finanzaufsicht ) bezieht sich in ihrer Veröffentlichung „Operational risk systems and controls“ (Kapitel 142, Seite 57) auf die ISO 27001 wie folgt: Eine Firma sollte sich mit der Wirksamkeit Ihrer Systeme und Kontrollmechanismen, die für die Datenverarbeitung und Informationssicherheit vorgesehen sind, beschäftigen. Zusätzlich zu den normalen geschäftlichen Anforderungen an vertrauliche Informationen, wie Vertrags- und Preisinformationen, Urheberrechte, etc. gibt es seit kurzem weitergehende Anforderungen ( wie zum Beispiel Sarbanes-Oxley, Cobit etc. ) im Bereich der Regulierung und Corporate Governance, die wesentlich fordernder hinsichtlich der Integrität Ihrer Unternehmens – und Finanzinformationen sind. Indem man ein Information Security Management System ( ISMS ) implementiert, bekommt man die Sicherheit, dass die unternehmenseigenen Sicherheitsvorkehrungen auf dem zur Zeit besten Stand der Technik basieren. Wenn man sein Management System nach ISO 27001 durch eine aussenstehende Zertifizierungsgesellschaft ( wie zum Beispiel LRQA ) zertifizieren lässt, dann erhält man einen unabhängigen und unvoreingenommenen Blick auf den tatsächliche Wirksamkeitsumfang und die Effektivität des ISMS – Systems. Dadurch wird auch der Aussenwelt signalisiert, wie sich der Stand der Sicherheitssysteme darstellt.
Die OECD Richtlinien
Die OECD ( Organisation für wirtschaftliche Zusammenarbeit und Entwicklung )
Die OECD – Richtlinien sollen die Aufmerksamkeit auf die Gefahr für Informationssysteme und Netzwerke lenken. Weiterhin sollen die Vorschriften, Anwendungen, Prozesse angesprochen werden, die auf diese Risiken ausgerichtet sind. Weiterhin soll die Notwendigkeit verdeutlicht werden, sich mit diesen Maßnahmen zu beschäftigen und diese zu implementieren. Die neun Regeln der Richtlinien beziehen sich auf alle regelnden und operativen Hierachien, die die Sicherheit der Informationssysteme und Netzwerke gewährleisten. ISO 27001 stellt einen ISMS – Rahmen zur Verfügung, der diese Regeln unter Nutzung des PDCA – Kreises und von Managementprozessen implementiert:
-Bewusstsein: Die Teilnehmer sollten sich der Notwendigkeit von Informations – und Netzwerksicherheit im Klaren sein. Ausserdem sollten sie sich darüber im Klaren sein, was sie für die Sicherheit dieser Systeme tun können.
-Verantwortung: Alle Teilnehmer sind für die Sicherheit der Informationssysteme und Netzwerke verantwortlich.
-Reaktion: Teilnehmer sollten zeitnah und kooperativ handeln, um Sicherheitsvorfällen vorzubeugen, Vorfälle zu entdecken, und auf Vorfälle zu reagieren.
-Risiko Audits: Die Teilnehmer sollten Risiko Audits durchführen.
-Sicherheitskonfiguration und -implementierung: Die Teilnehmer sollen Sicherheit als ein wesentliches Element der Informationssysteme und Netzwerke leben.
-Sicherheitsmanagement: Die Teilnehmer sollten einen umfassenden Ansatz für das Sicherheitsmanagement wählen.
-Neubewertung: Die Teilnehmer sollten die Sicherheit der Informationssysteme und – netzwerke überarbeiten und neu bewerten. Ausserdem sollten sie angemessene Modifizierungen der Sicherheitspolicies, Arbeitsabläufe, Maßnahmen und Prozesse durchführen.
-Es geht los: Wie auch immer der aktuelle Organisationsgrad Ihrer Organisation zu Zeit ist – der erste Schritt der Implementierung eines ISMS – System ist immer die Zustimmung und Unterstützung durch das Management. Motivation und Führung muss jetzt durch das Topmanagement geleistet werden. Das Management muss sich in dieser Phase aktiv engagieren und die Richtung für das ISMS – System angeben. Das System muss mit dem strategischen Ansatz der Organisation kompatibel sein. Ausserdem sollte das Management Schlüselbegriffe wie Policies und Ziele als Führungsinstrumente nutzen. Der Erfolg wird eintreten wenn das Management die Gründe für die Implementierung eines ISMS – Systems nachvollziehen kann und die Implementierung und den Betrieb voll und ganz unterstützt.

Die Planung,die den Erfolg sicherstellt

Wie bei jedem anderen Projekt auch, wird der Erfolg umso wahrscheinlicher, je realistischer und überlegter man vorgeht. Wichtig ist, die tatsächliche Performance mit den Planvorgaben abzugleichen und auf unvorhergesehene Ereignisse angemessen reagieren zu können. Der Plan sollte unter Berücksichtigung des Zeitfaktors und der knappen Resource erstellt werden. Das Top – Management sollte die erforderlichen Resourcen bereitstellen. Die Gesamtverantwortung liegt immer beim Top – Management und oft auch bei der IT – Abteilung. Allerdings hat die IT – Sicherheit einen durchaus weiteren Ansatz als nur IT – Systeme. Darüber hinaus berührt sie das Personal, die Sicherheit, physische Sicherheit und rechtliche Regelungen. Wenn in Ihrem Unternehmen bereits ein Qualitätsmanagementsystem vorhanden ist, dann kann man ISO 27001 mit der ISO 9001:2015 kombinieren und als Basis für das ISMS – System nutzen. Handelsorganisationen und Verbände, die die Zertifizierung bereits absolviert haben, können gute Quellen für Informationen und Erfahrungen sein. Man kann bei ihnen erfahren wie man am besten startet bzw. man kann seine Erfahrungen mit ihren abgleichen. Vielleicht möchten Sie auch erstmal einen LRQA Training besuchen? Dort können Sie mit anderen Teilnehmern oder Ihrem über IT – Sicherheit diskutieren.

Die Norm verstehen

Der erste Schritt sollte sein, sich mit der neuen Norm zu befassen. Man sollte die Kriterien, die es zu beachten gilt, nachvollziehen können. Auch die Struktur der Norm und die Struktur des eigenen zukünftigen ISMS – Systems und der dazu gehörigen Dokumentation sollte nachvollzogen worden sein. Die Norm weist zwei Teile auf:
-ISO 27002 selber ist keine Norm, sondern eine Handlungsanweisung, die Sicherheits – und Überwachsungsziele beschreibt, die man auswählen und implementieren kann, um bestimmte Risiken der IT – Sicherheit auszuschließen.
-ISO 27001 ist die Management System Norm, die die Anforderungen an die Zertifizierung des ISMS – System definiert. Diese Norm umfasst alle gemeinsamen Elemente eines Management Systems: Policy, Leadership, Planung, Betriebsablauf ( operations ), Management Review und Verbesserungswesen ( impovement ).
-Sie enthält ein Kapitel, das sich speziell mit der Identifizierung von Risiken des Informationssystems beschäftigt und einer Auswahl von passenden Kontrollmechanismen, die man mit der Norm abgleichen kann ( Annex A )

Was kommt als nächstes?

Es gibt zwei Hauptelemente in einem ISMS – System. Diese Hauptelemente können als zwei unterschiedliche Aktivitäten behandelt werden. ISO 27001 fordert die Implementierung eines ISMS – Systems, um die Sicherheitsanforderungen Ihres spezifischen Geschäfts zu identifizieren und zu dokumentieren. Die Norm fordert auch, dass die Managementprozesse definierte Vereinbarungen, Verantwortlichkeiten und Überprüfbarkeit beinhalten. D.h. Führung, Kontext, Management Review und Verbesserungswesen.

Management Prozesse

Diese Prozesse sind hinsichtlich der effektiven Implementierung eines ISMS – Systems als kritisch zu bezeichnen. Wenn Ihre Organisation bereits mit einem Qualitätsmanagementsystem wie der ISO 9001:2015 arbeitet, dann werden Ihnen diese Prozesse bekannt vorkommen. Wenn das der Fall ist, dann ist die Integration des Forderungskataloges des neuen ISMS – Systems in das vorhandene Management System, die ideale Vorgehensweise. Denn das stellt sicher, dass die Sicherheitsexpertise dort verfügbar ist, wann und wo sie gebraucht wird. Wenn Sie diese Prozesse zum ersten Mal implementieren, dann denken Sie bitte an die ganzheitliche Absicht dieser Managementsystemanforderungen. Stellen Sie sicher, dass das Topmanagement sich der Thematik annimmt, denn das Topmanagement hat die Verantwortung für die Effektivität des Management Systems und das ISMS soll von Ihm „betrieben“ werden. Adäquate Resources ( Personal, Ausrüstung, Zeit und Geld ) sollten in die Entwicklung, Implementierung und Überwachung des ISMS – Systems investiert werden. Ein internes Audit überprüft, ob das ISMS – Management System wie geplant funktioniert und auch Verbesserungsmöglichkeiten aufzeigt. Durch das Management Review hat das Top Management erstmals die Möglichkeit der Auditierung und kann feststellen wie gut das System funktioniert und wie es die Geschäftstätigkeit unterstützt. Vielleicht finden Sie es sinnvoll, diese Managementprozesse mit den Überwachungszielen in Annex A zu verbinden, denn viele dieser Überwachungsmechanismen komplettieren die Managementanforderungen der ISO 27001.
Definieren Sie den Umfang
Es ist sehr wichtig, dass Sie den logischen und geographischen Umfang des ISMS – Systems so genau bestimmen, dass die Grenzen und die Verantwortlichkeiten Ihres ISMS – Systems klar sichtbar werden. Der Umfang sollte die Personen, Räume und Informationen identifizieren, die von der Einführung des ISMS – Systems betroffen sind. Sobald Sie den Umfang definiert und dokumentiert haben, können Sie die betroffenen Informationsbereiche identifizieren. Dann können Sie ebenfalls ihren Wert und „Owner“ festlegen.

ISMS Vorschriften ( Policy )

Die Anforderungen, die sich auf die ISMS Vorschriften ( Policies ) beziehen, sind in beiden Normen ISO 27001 (5.2) und ISO 27002 vorhanden. Es gibt auch Referenzen, die die Policy betreffen, die sich in anderen Forderungen der ISO 27001 oder im Annex A befinden. Das wiederum liefert weitere Hinweise darauf, was die Policy beinhalten sollte. Zum Beispiel sollten die ISMS – Ziele mit den ISMS – Richtlinien ( Policy ) konsistent sein (6.2). Andere Richtlinien (Policies) werden erforderlich sein, um einige Überwachungsziele zu erreichen.

Risiko – Auditierung und Risikomanagement

Die Risiko – Auditierung ist das Fundament, auf dem jedes ISMS – System errichtet wurde. Es liefert den Focus für die Implementierung der Sicherheitsüberwachung und stellt sicher, dass sie dort angewendet werden, wo es am nötigsten ist. Außerdem müssen sie kosteneffizient sein und dürfen nicht dort angewendet werden, wo sie am wenigsten nützen. Die Risiko – Auditierung hilft die Antwort auf die Frage zu liefern: Wieviel Sicherheit brauchen wir? Eine der Hauptbetrachtungsweisen ist, dass man Risiko in einem positiven wie auch negativem Licht sehen kann. Risiko wird als Unsicherheit über Ziele definiert. Deswegen ist es sehr wichtig, dass man die Chancen, die sie nutzen wollen, ebenfalls betrachtet. Der Risiko – Audit umfasst alle „owners“ von Informationsbestände. Man wird ohne sie kein effektives Risiko-Audit durchführen können. Der erste Schritt ist es eine Risiko Audit – Methode festzulegen und zu dokumentieren. Es gibt passende Methoden, die meist computerbasiert sind, wie z.B. CRAMM. ISO 31000 enthält weitere Informationen darüber, wie man die richtige und passende Methode für die spezifische Struktur und Komplexität des eigenen Informationssystems findet. Der Risiko Auditierungsprozess umfasst die Identifizierung- und Bewertung der Informationsbestände. Die Bewertung muss nicht finanziell sein und kann auch Reputationsschäden und einen Kompromiss der regulierenden Vorschriften umfassen. ( das ist dann genau da, wo Ihr Kontext einen wichtigen Einfluss hat ) Dieser Prozess sollte alle Bedrohungen und Unsicherheiten umfassen und jede Chance, die mit den Informationsbeständen und deren Nutzung zu tun hat. Schließlich muss man die Höhe des Risikos festlegen und die entsprechenden Überwachungsmechanismen implementieren. Zum Beispiel ist die Bedrohung durch Verweigerung des Zugangs für ein industriell geprägtes Unternehmen in der Nähe eines petrochemischen Unternehmens wesentlich grösser als die gleiche Bedrohung für ein Büro in einem städtischen Büropark. Andersrum ist die Bedrohung von Kreditkartendatendiebstahl grösser als der Diebstahl von Produktionsdaten einer kleinen Engineeringfirma.

Risiko Behandlung

Das Risiko Audit identifiziert Risiko Levels, die dann mit dem akzeptierten Risikolevel der Sicherheitspolicy des Unternehmens abgeglichen werden müssen. Bei Risiken, die oberhalb des akzeptierten Risikolevels liegen, müssen angemessene Maßnahmen getroffen werden. Mögliche Maßnahmen wären hier zum Beispiel: Die Implementierung von Sicherheitskontrollen aus dem Annex A, die den Risikolevel auf ein akzeptables Niveau reduzieren. Der Risikiolevel sollte neu kalkuliert werden, um zu bestätigen, dass das Restrisiko unter dem akzeptablen Level ist. Die ausgewählten Überwachungsinstrumente werden in das „Statement of Applicabillity“ aufgenommen. Dieses enthält die Begründung für die Aufnahme oder den Ausschluss jedes Überwachungsinstruments. Außerdem zeigt es den Status an und ermöglicht die Nachvollziehbarkeit durch den Risiko Audit.

Das Risiko in Übereinstimmung mit der Management Policy und den Kriterien für Risiko Akzeptanz akzeptieren.

Es kann sein, dass es Fälle gibt, bei denen das Restrisiko trotz der eingeleiteten Maßnahmen höher als das akzeptable Risiko ist. In diesem Fall sollte das Restrisiko Teil des Risikoakzeptanzprozesses werden. Eine Aufzeichnung der „managements acceptance of risks“ sollte ebenfalls vorgehalten werden.

Das Risiko eliminieren, indem man die Sicherheitsumgebung ändert

Zum Beispiel, indem man sichere Anwendungen installiert, bei denen Schwachstellen, die man während des Datenverarbeitungsprozesses entdeckt hat, ausgemerzt sind; oder indem man physische Gegenstände in ein höheres Stockwerk transportiert, wenn zum Beispiel die Gefahr von Überschwemmungen droht. Solche Entscheidungen müssen geschäftliche und finanzielle Betrachtungen in Erwägung ziehen. Noch einmal – das Restrisiko sollte nochmal entsprechend den Risikovermeidungsmaßnahmen re- kalkuliert werden.

Verschiebung des Risikos durch Herausnahme einer angemessenen Versicherung oder Outsourcing des Managements von physischen Anlagen oder Businessprozessen.

Die Organisation, die das Risiko akzeptiert, sollte sich dessen bewusst sein und damit einverstanden sein, ihre Verpflichtungen zu erfüllen. Verträge mit Organisationen, die Leistungen outsourcen, sollten die spezifisch passenden Sicherheitsanforderungen erfüllen. Der Risikoplan wird dafür eingesetzt, die Risiken zu managen, indem man die geplanten und durchgeführten Maßnahmen identifiziert. Darüber hinaus sind die Zeitpläne für die Vervollständigung der ausstehenden Maßnahmen zu berücksichtigen. Die Planung sollte die Maßnahmen priorisieren und alle Verantwortlichkeiten und detaillierten Maßnahmenpläne enthalten.

Zertifizierung

Nicht alle Zertifizierungsunternehmen sind gleich. Wenn Sie mit einem Zertifizierungsunternehmen zusammenarbeiten, dann möchten Sie sichergehen, dass es durch eine nationale Akkreditierungsorganisation akkreditiert ist. Bei Lloyd´s ist das die UKAS ( United Kingdom Accreditation Service ). Besuchen Sie die Website ( www.ukas.com ), wenn Sie weitere Informationen über die Akkreditierung benötigen. Zertifizierung ist eine externe Bewertung Ihres Managementsystems. Sie bescheinigt, dass sie die Anforderungen der ISO 27001:2013- der internationalen Informationssicherheitsmanagement-Norm, gerecht werden. Die Wahl Ihrer Zertifizierungsgesellschaft wird ebenfalls eine Menge darüber aussagen, wie wichtig Sie Managementsysteme halten. Sie sollten eine Zertifizierungsgesellschaft auswählen, die Ihnen helfen kann Ihr Managementsystem so zu entwickeln, dass es sein ganzes Potential ausschöpfen kann. Alle LRQA – Auditoren durchlaufen einen rigorosen Auswahlprozess und Trainingsprogramm, dass von einem kontinuierlichen, permanenten persönlichen Entwicklungsplan begleitet wird. Das gibt Ihnen die Sicherheit, dass wenn Sie LRQA als Ihre Zertifizierungsgesellschaft auswählen, Sie die Sicherheit haben, einen gründlichen aber auch fairen Zertifizierungsprozess zu durchlaufen. Darüber hinaus unterstützen Sie damit den fortlaufenden Entwicklungsprozess Ihres Managementssystems. Darüber hinaus, da die LRQA Marke weltweit anerkannt ist, wird Ihre LRQA – Zertifizierung dafür sorgen, dass Einkäufer weltweit Vertrauen in Ihre ISO 27001 Zertifizierung und Ihr Managementsystem haben werden.

Warum sollte man LRQA wählen?

LRQA kann Sie bei der Verbesserung Ihrer Systeme und dem Management von Risiken unterstützen. LRQA hilft Ihnen Ihre jetzige und zukünftige Leistung der Organisation zu verbessern. Durch das Verständnis was wichtig für Ihre Organisation und Ihre Stakeholders ist, helfen wir Ihnen Ihr Managementsystem und Ihr Business zum selben Zeitpunkt zu verbessern.

Gedankliche Führung

Unsere Experten sind anerkannte Stimmen in der Industrie und nehmen regelmässig an Sitzungen technischer Kommitees teil, die Normen verbessern und entwickeln.

Technische Expertise

Das technische know – how und die Projektmanagement Expertise unserer weltweit anerkannten und hochausgebildeten ISMS – Experten stellt sicher, dass unsere Dienstleistungen an Ihre Geschäftsanforderungen anpassen.
Wir verbinden internationale Expertise, tiefe Einsicht in die Informationssicherheit mit“ first Class“ Projektmanagement – und Kommunikationsfähigkeit. Wir sind keine Aktiengesellschaft und daher unabhängig und unteilbar in Allem was wir tun. Wir sind dazu verpflichtet, zu jeder Zeit, integer und objektiv zu handeln. Weitere Informationen erhalten Sie unter Carl.Ebelshaeuser@lrqa.com oder +49 (0)221 96757700 oder http://www.lrqa.de/kontakt-und-info/anfrage-an-lrqa.aspx

Download unserer ISO 27001 Broschüre: http://www.lrqa.de/standards-und-richtlinien/iso-iec-27001/downloads/iso-27001-leitfaden.aspx

Firmenbeschreibung
Über Lloyd´s Register

Wir haben 1760 als Schiffsklassifizierungsgesellschaft begonnen. Heutzutage sind wir ein weltweit führender Anbieter technischer Unternehmensdienstleistungen und Technologien und verbessern die Sicherheit und Leistung kritischer Infrastrukturen unserer Kunden in über 75 Ländern, weltweit. Mit unseren Gewinnen finanzieren wir die Lloyds Register Foundation, eine wohltätige Stiftung, die die Wissenschafts- und Technik-bezogene Forschung, Ausbildung und unser öffentliches Engagement unterstützt. All das unterstützt uns bei unserem Ziel, das uns tagtäglich antreibt: Zusammen für eine sichere Welt zu arbeiten.
Wir wissen, dass in einer immer komplexeren Welt, die mit Daten und Meinungsäußerungen überfrachtet ist, Technologie allein nicht ausreicht, um erfolgreich zu sein. Unsere Kunden benötigen einen erfahrenen Partner. Einen Partner, der genau zuhört, sich nicht ablenken lässt und sich auf das konzentriert, was für ihn und die Kunden wirklich wichtig ist. Unsere Ingenieure und technischen Experten engagieren sich für Sicherheit. Das bringt die Verpflichtung mit sich, neuen Technologien positiv zu begegnen und Leistungssteigerungen zu fördern. Wir prüfen die Bedürfnisse unserer Kunden mit Sorgfalt und Empathie und nutzen dann unsere Expertise und unsere über 250 Jahre Erfahrung, um allen eine intelligente Lösung zu bieten. Denn es gibt Dinge, die Technologie nicht ersetzen kann.
Weiter Information erhalten Sie durch info@lrqa.de oder 0221- 96757700. Den Lloyd´s -Newsletter erhalten Sie unter: http://www.lrqa.de/kontakt-und-info/news-abonnieren.aspx Weitere Infos unter: http://www.lrqa.de/standards-und-richtlinien/angebot-anfordern.aspx

Über Lloyd´s Register

Wir haben 1760 als Schiffsklassifizierungsgesellschaft begonnen. Heutzutage sind wir ein weltweit führender Anbieter technischer Unternehmensdienstleistungen und Technologien und verbessern die Sicherheit und Leistung kritischer Infrastrukturen unserer Kunden in über 75 Ländern, weltweit. Mit unseren Gewinnen finanzieren wir die Lloyds Register Foundation, eine wohltätige Stiftung, die die Wissenschafts- und Technik-bezogene Forschung, Ausbildung und unser öffentliches Engagement unterstützt. All das unterstützt uns bei unserem Ziel, das uns tagtäglich antreibt: Zusammen für eine sichere Welt zu arbeiten.
Wir wissen, dass in einer immer komplexeren Welt, die mit Daten und Meinungsäußerungen überfrachtet ist, Technologie allein nicht ausreicht, um erfolgreich zu sein. Unsere Kunden benötigen einen erfahrenen Partner. Einen Partner, der genau zuhört, sich nicht ablenken lässt und sich auf das konzentriert, was für ihn und die Kunden wirklich wichtig ist. Unsere Ingenieure und technischen Experten engagieren sich für Sicherheit. Das bringt die Verpflichtung mit sich, neuen Technologien positiv zu begegnen und Leistungssteigerungen zu fördern. Wir prüfen die Bedürfnisse unserer Kunden mit Sorgfalt und Empathie und nutzen dann unsere Expertise und unsere über 250 Jahre Erfahrung, um allen eine intelligente Lösung zu bieten. Denn es gibt Dinge, die Technologie nicht ersetzen kann.
Weiter Information erhalten Sie durch info@lrqa.de oder 0221- 96757700. Den Lloyd´s -Newsletter erhalten Sie unter: http://www.lrqa.de/kontakt-und-info/news-abonnieren.aspx Weitere Infos unter: http://www.lrqa.de/standards-und-richtlinien/angebot-anfordern.aspx

Kontakt
Lloyd´s Register Deutschland GmbH
Carl Ebelshäuser
Adolf Grimme Allee 3
50829 Köln
+49 (0)221 96757700
info@lrqa.de
http://www.lrqa.de

Bildung Karriere Schulungen

Neu: Öffentliche Trainingstermine in der Landeshauptstadt Berlin. Melden Sie sich jetzt an!

Neu: Öffentliche Trainingstermine in der Landeshauptstadt Berlin. Melden Sie sich jetzt an!

Das topaktuelle Trainingsprogramm 2018/1 steht für Sie bereit – aktuell mit 10% Neujahresrabatt auf Ihre persönliche Weiterbildung! Und jetzt erstmals viele Trainingstermine in der Bundeshauptstadt Berlin! Eine frühzeitige Buchung empfiehlt sich, um gewünschte Termine wahrzunehmen.

Sie buchen vom 17. Januar bis zum 09. Februar 2018 Ihr Training im 1. Halbjahr 2018 und Sie sparen 10 % auf die Teilnahmegebühr!*.

Bitte geben Sie im Online-Anmeldeformular unter Aktionscode/Weitere Angaben „10% Neujahrsrabatt“ ein.

(*Der Rabatt gilt für öffentliche Trainings im 1. Halbjahr 2018 und wird auf den Netto-Trainingspreis gewährt. Er ist nicht mit anderen Rabatten kombinierbar.)

Weitere Informationen zum Download und Anmeldung: http://www.lrqa.de/training/
Wenn Sie Fragen haben oder weitere Informationen benötigen, so stehe wir ihnen gerne zur Verfügung unter: Lloyd´s Register Deutschland GmbH, Stichwort: Trainingsprogramm, Adolf – Grimme – Allee 3, D- 50829 Köln, Anna.Wolke@lrqa.com, +49 (0)221 9675 77 54, www.lrqa.de

Lloyd´s Register Deutschland GmbH ( http://www.lrqa.de ) wurde 1985 gegründet und ist eine der international führenden Gesellschaften für die Auditierung von Managementsystemen und Risikomanagement. LRQA bietet Schulungen und Zertifizierung von Managementsystemen mit Schwerpunkten in folgenden Bereichen: Qualität, Umweltschutz, Arbeitssicherheit, Energiemanagement, Auditierung von Lieferketten. Mit mehr als 45 Akkreditierungen und Niederlassungen in 40 Ländern kann LRQA Auditierungen in 120 Ländern durchführen. Weltweit betreuen 2.500 Auditoren mehr als 45.000 Kunden. LRQA gehört zur Lloyd´s Register Gruppe. Lloyd“s Register wurde 1760 als erste Gesellschaft zur Schiffsklassifizierung gegründet und bietet heute Dienstleistungen im Bereich Risikomanagement. Die Lloyd´s Register Gruppe ist ein gemeinnütziges Unternehmen gemäß englischem Charity-Recht, d.h. die Gewinne werden für eine gemeinnützige Stiftung verwendet bzw. wieder direkt ins Unternehmen investiert. Hierdurch ist LRQA wirtschaftlich unabhängig. Weiter Information erhalten Sie durch info@lrqa.de oder 0221- 96757700. Den LRQA-Newsletter erhalten Sie unter: http://www.lrqa.de/kontakt-und-info/news-abonnieren.aspx Weitere Infos unter: http://www.lrqa.de/standards-und-richtlinien/angebot-anfordern.aspx

Kontakt
Lloyd´s Register Deutschland GmbH
Carl Ebelshäuser
Adolf Grimme Allee 3
50829 Köln
+49 (0)221 96757700
info@lrqa.de
http://www.lrqa.de

Computer IT Software

IT-Risiken bewerten und absichern

DATAKOM schlägt die Brücke zwischen IT-Sicherheit und Controlling

IT-Risiken bewerten und absichern

Ismaning, 16. Oktober 2017 – Laut Europol haben Cyberattacken in den letzten zwölf Monaten stark zugenommen. IT-Risikomanagement sollte daher zu den Aufgaben einer jeden Organisation zählen. Für KRITIS-Unternehmen gehört es ab 2018 im Rahmen der Zertifizierung eines Informationssicherheitsmanagementsystems (ISMS) ohnehin zum Pflichtprogramm. DATAKOM unterstützt und berät Unternehmen bei der Einführung eines zertifizierten ISMS. Dabei berücksichtigt der Spezialist für IT-Sicherheit ausdrücklich auch betriebswirtschaftliche Aspekte. Dieses Vorgehen ist Teil eines ganzheitlichen Security-Konzeptes von DATAKOM.

Informationstechnologie (IT) ist heute ein wesentlicher Erfolgsfaktor für Unternehmen in nahezu jeder Branche. Dabei unterscheiden sich die Anforderungen an IT-Infrastrukturen von Branche zu Branche. Dennoch stehen alle Unternehmen vor der gleichen Frage: Welche Risiken entstehen durch den möglichen Ausfall von IT-Komponenten? Dabei geht es um den Schutz sensibler Daten, was sowohl rechtliche als auch wirtschaftliche Folgen nach sich ziehen kann. Es geht aber natürlich auch um die allgemeine Leistungsfähigkeit der IT, von den Anwendungen über die Prozesse bis zur Stromversorgung. Durch ein zertifiziertes ISMS sind Unternehmen in der Lage, die IT-Sicherheit gemäß Compliance-Anforderungen zu managen, zu verfolgen und nachzuweisen.

Risikomodelle rechtfertigen Investition in IT-Security
Manager stehen heute unter anderem vor der Herausforderung, Risiken mit ihren jeweiligen statistischen Verteilungen zu formulieren und ihre Aggregation durch Szenario-Analysen zu berechnen. Durch welche Maßnahmen einem Risiko am besten begegnet wird, muss in Abhängigkeit von deren Wirksamkeit und Kosten abgewogen werden. Bei dieser Entscheidung sind auch die Anforderungen aus Normen wie ISO 27001 zu berücksichtigen. Schließlich bedeutet die Zertifizierung viel mehr als nur die Erfüllung von Compliance. Sie schützt das Unternehmen vor Verlust und weist den erreichten Sicherheitsstandard auch Institutionen und Partnern gegenüber nach. „Im Beratungsalltag erleben wir aber immer wieder, wie schwierig es für Risikomanager ist, die richtige Balance zwischen Risikoabschätzung und der Investition in Sicherheitsmaßnahmen zu finden“, sagt Dr. Philip Huisgen, General Manager der DATAKOM GmbH. „Mit unserem ganzheitlichen IT-Sicherheitskonzept bieten wir Unterstützung beim Risikomanagement und bei der Einführung eines ISMS. Auf dieser Basis werden die Verantwortlichen in die Lage versetzt, betriebswirtschaftlich vertretbare Entscheidungen zu treffen.“

Für die Umsetzung und kontinuierliche Kontrolle der verschiedenen Compliance-Vorgaben setzt DATAKOM auf das Governance, Risk & Compliance (GRC)-Tool CRISAM® von Branchenspezialist Calpana. CRISAM® enthält die Inhalte und Abfragen für verschiedene Standards wie ISO 27000, COBIT, ITIL v2 und v3, ISO 80001, ISO 9001, EN50600, PCI/DSS oder auch die EU-DSGV0. Es stellt den Compliance-Anforderungen die umgesetzten Maßnahmen gegenüber. Verschiedene Berichte geben jederzeit Aufschluss über das erreichte Sicherheitsniveau und über das Delta für die Zertifizierung bzw. Auditierung.

Weitere Informationen zu diesem Thema finden Sie auch unter: http://www.datakom.de/it-security.html.

Hochauflösendes Bildmaterial ist unter datakom@sprengel-pr.com verfügbar.

Firmenprofil DATAKOM GmbH:
Die DATAKOM ist Consultant, Systemintegrator und Managed Service-Provider für IT-Security-Systemlösungen, IT-Messtechnik und IT-Anschlusstechnik. Seit 1986 entwickeln und integrieren wir maßgeschneiderte Lösungen bei Kunden im DACH-Raum. Wir verstehen uns als Unternehmen, das als Full-Service-Provider Kunden langjährig begleitet, von der Konzeption über die Installation und Integration bis hin zum Betrieb. Damit tragen wir zur Erhöhung der Zuverlässigkeit, Qualität, Verfügbarkeit und Sicherheit von Netzwerken bei.

Das DATAKOM-Portfolio umfasst Security-Lösungen, die durch Incident-Prevention, -Protection und -Response selbst komplexe Bedrohungen und Angriffe verhindern bzw. abwehren und so Unternehmen vor Schaden bewahren. IT-Messtechnik für Troubleshooting und zur Performance-Optimierung sorgen für einwandfrei funktionierende Netzwerke und Anwendungen. Managed Service-Modelle bieten Kunden echten Mehrwert.
DATAKOM trägt das TeleTrust-Qualitätszeichen „IT-Security made in Germany“.

Firmenkontakt
DATAKOM Gesellschaft für Datenkommunikation mbH
Lydia Krowka
Lise-Meitner-Str. 1
85737 Ismaning
+49 89-99 65 25 10
presse@datakom.de
http://www.datakom.de

Pressekontakt
Sprengel & Partner GmbH
Andreas Jung
Nisterstraße 3
56472 Nisterau
+49 (0)2661-912600
datakom@sprengel-pr.com
http://www.sprengel-pr.com

Computer IT Software

Die 5 häufigsten Methoden, mit denen Ihre Mitarbeiter gehackt werden und wie man sie verhindert.

Die 5 häufigsten Methoden, mit denen Ihre Mitarbeiter gehackt werden und wie man sie verhindert.

www.lrqa.de

Was ist ISO/IEC 27001?

Die ISO/IEC 27001 ist eine von der International Organization for Standardization (ISO) veröffentliche Norm für Informationssicherheit und bietet Unternehmen ein Gerüst zur Identifizierung, Analyse und Implementierung von Kontrollen, mit denen Risiken hinsichtlich Informationssicherheit gemanagt und und die Integrität geschäftskritischer Daten sichergestellt werden. Sie spezifiert die Anforderungen für die Einrichtung, Durchführung, Überwachung und Verbesserung eines Informationssicherheitsmanagementsystem (ISMS). Dies geschieht unter Berücksichtigung der Risiken innerhalb der gesamten Organisation. Ziel der ISO/IEC 27001 ist es, geeignete Sicherheitsmaßnahmen zum Schutz sämtlicher Werte (Assets) in der Wertschöpfungskette umzusetzen um Risiken zu senken.

Wer kann ISO/IEC 27001 anwenden?

Heutzutage greift die Mehrheit der Unternehmen, unabhängig der Größe oder Branche, bei der Steuerung geschäftskritischer Prozesse auf informationstechnische Systeme zurück. Mögliche Cyberattacken oder der Verlust vertraulicher Informationen können erhebliche Auswirkungen haben – sowohl finanzieller Art als auch die Reputation betreffend. Der Standard ISO/IEC 27001 ist von allen Unternehmen anwendbar, die ihre Informationswerte schützen, Vertrauen bei Interessenten erreichen und dies durch eine Zertifizierung von einer unabhängigen Stelle nachweisen wollen.

Vorteile einer Zertifizierung nach ISO 27001

-Starke Position im Wettbewerb – Sie stärken das Vertrauen bei Ihren Kunden und Interessenten und erhalten Zugang zu Ausschreibungen, die eine ISO 27001 Zertifizierung voraussetzen

-Schutz der Informationen – Sie beseitgen Schwachstellen in Ihrer Prozesslandschaft, steigern das Bewusstsein für Cyber-Attacken bei Ihren Mitarbeitern und sorgen für Schutz und Verfügbarkeit Ihrer Informationen und Daten

-Optimale Ausrichtung auf relevante Sicherheitsrisiken – Cyberrisiken sind ein gegenwärtiges und immer relevanter werdendes Thema, die ISO 27001 ist der geeignete Rahmen zur Adressierung dieser Gefahren

-Kostenminimierung – weniger Vorfälle sorgen für Kosteneinsparungen, die unter anderem durch Datenlecks und auftretende Betriebsunterbrechungen verursacht werden können

-Integration mit anderen Standards – Sie haben bereits ein Managementsystem, z.B. ISO 9001 oder ISO 14001, implementiert? Kein Problem, die ISO/IEC 27001 lässt sich problemlos mit allen gängigen Standards integrieren

Wie LRQA Sie unterstützen kann

LRQA arbeitet seit vielen Jahren im Bereich der Bewertung und Zertifizierung von Managementsystemen für Informationssicherheit. Als Mitglied im IIOC (Independent International Organisation for Certification) sind wir in allen wichtigen Komitees vertreten und gestalten die neuen Standards mit. Unsere Auditoren sind Managementsystemexperten, die speziell für den Bereich der Informationssicherheit sowie für andere Aspekte der IT qualifiziert sind. Durch deren objektive Betrachtung stärken Sie Ihr Vertrauen in die eigenen Sicherheitsmaßnahmen.

Hier geht es zum kostenlosen Download: http://www.lrqa.de/standards-und-richtlinien/iso-iec-27001/downloads/iso-27001-whitepaper-5-methoden.aspx

Lloyd´s Register Deutschland GmbH ( http://www.lrqa.de ) wurde 1985 gegründet und ist eine der international führenden Gesellschaften für die Auditierung von Managementsystemen und Risikomanagement. LRQA bietet Schulungen und Zertifizierung von Managementsystemen mit Schwerpunkten in folgenden Bereichen: Qualität, Umweltschutz, Arbeitssicherheit, Energiemanagement, Auditierung von Lieferketten. Mit mehr als 45 Akkreditierungen und Niederlassungen in 40 Ländern kann LRQA Auditierungen in 120 Ländern durchführen. Weltweit betreuen 2.500 Auditoren mehr als 45.000 Kunden. LRQA gehört zur Lloyd´s Register Gruppe. Lloyd“s Register wurde 1760 als erste Gesellschaft zur Schiffsklassifizierung gegründet und bietet heute Dienstleistungen im Bereich Risikomanagement. Die Lloyd´s Register Gruppe ist ein gemeinnütziges Unternehmen gemäß englischem Charity-Recht, d.h. die Gewinne werden für eine gemeinnützige Stiftung verwendet bzw. wieder direkt ins Unternehmen investiert. Hierdurch ist LRQA wirtschaftlich unabhängig. Weiter Information erhalten Sie durch info@lrqa.de oder 0221- 96757700. Den LRQA-Newsletter erhalten Sie unter: http://www.lrqa.de/kontakt-und-info/news-abonnieren.aspx Weitere Infos unter: http://www.lrqa.de/standards-und-richtlinien/angebot-anfordern.aspx

Kontakt
Lloyd´s Register Deutschland GmbH
Carl Ebelshäuser
Adolf Grimme Allee 3
50829 Köln
+49 (0)221 96757700
info@lrqa.de
http://www.lrqa.de

Computer IT Software

Warum ist die ISO 27001 gut für Sie?

Und über was sollten Sie sich im Klaren sein, wenn Sie die ISO 27001 implementieren?

Warum ist die ISO 27001 gut für Sie?

www.lrqa.de

Egal ob Sie interne Informationsmanagementsysteme leiten oder für die Informationssicherheit verantwortlich sind oder ob Sie IT – Produkte und Dienstleistungen für Ihre Kunden entwickeln – effektive Informationssicherheitssysteme ( ISMS) sind wichtig. Sie helfen Ihnen die richtigen Kontrollen, Systeme und Produkte zu entwickeln, um die ständig steigenden Anforderungen Ihrer Kunden und Partner erfüllen zu können. Die ISO 27001 stellt sicher, dass die Daten von „interessierten Dritten“ wie zum Beispiel ihre Kunden, Mitarbeiter, Handelspartner und ganz allgemein die Gesellschaft durch adäquate Kontrollmechanismen geschützt sind. Ihre Anforderungen zu verstehen- das ist der Schlüssel für die Implementierung Ihres Managementsystems. Eine ISMS Zertifizierung nach ISO 27001 kann Ihnen helfen Ihren Handelspartnern und Kunden zu verdeutlichen, dass Sie Informationssicherheit ernst nehmen. Es ist ein deutlicher Beweis, dass eine Organisation ihr Commitment zur Informationssicherheit ernst nimmt. Dieser Artikel möchte Hilfestellung und Ratgeber für diejenigen sein, die sich mit der Zertifizierung ihres Unternehmens hinsichtlich eines ISMS – Systems befassen. Die Artikel wurde von Jonathan Alsop, LRQA ISO 27001 Lead Auditor und Rob Acker, LRQA ICT Technical Manager verfasst.
Einführung zur Implementierung eines ISMS – Systems.
Die UK FSA ( Financial Services Authority – die Finanzaufsicht ) bezieht sich in ihrer Veröffentlichung „Operational risk systems and controls“ (Kapitel 142, Seite 57) auf die ISO 27001 wie folgt: Eine Firma sollte sich mit der Wirksamkeit Ihrer Systeme und Kontrollmechanismen, die für die Datenverarbeitung und Informationssicherheit vorgesehen sind, beschäftigen. Zusätzlich zu den normalen geschäftlichen Anforderungen an vertrauliche Informationen, wie Vertrags- und Preisinformationen, Urheberrechte, etc. gibt es seit kurzem weitergehende Anforderungen ( wie zum Beispiel Sarbanes-Oxley, Cobit etc. ) im Bereich der Regulierung und Corporate Governance, die wesentlich fordernder hinsichtlich der Integrität Ihrer Unternehmens – und Finanzinformationen sind. Indem man ein Information Security Management System ( ISMS ) implementiert, bekommt man die Sicherheit, dass die unternehmenseigenen Sicherheitsvorkehrungen auf dem zur Zeit besten Stand der Technik basieren. Wenn man sein Management System nach ISO 27001 durch eine aussenstehende Zertifizierungsgesellschaft ( wie zum Beispiel LRQA ) zertifizieren lässt, dann erhält man einen unabhängigen und unvoreingenommenen Blick auf den tatsächliche Wirksamkeitsumfang und die Effektivität des ISMS – Systems. Dadurch wird auch der Aussenwelt signalisiert, wie sich der Stand der Sicherheitssysteme darstellt.
Die OECD Richtlinien
Die OECD ( Organisation für wirtschaftliche Zusammenarbeit und Entwicklung )
Die OECD – Richtlinien sollen die Aufmerksamkeit auf die Gefahr für Informationssysteme und Netzwerke lenken. Weiterhin sollen die Vorschriften, Anwendungen, Prozesse angesprochen werden, die auf diese Risiken ausgerichtet sind. Weiterhin soll die Notwendigkeit verdeutlicht werden, sich mit diesen Maßnahmen zu beschäftigen und diese zu implementieren. Die neun Regeln der Richtlinien beziehen sich auf alle regelnden und operativen Hierachien, die die Sicherheit der Informationssysteme und Netzwerke gewährleisten. ISO 27001 stellt einen ISMS – Rahmen zur Verfügung, der diese Regeln unter Nutzung des PDCA – Kreises und von Managementprozessen implementiert:
-Bewusstsein: Die Teilnehmer sollten sich der Notwendigkeit von Informations – und Netzwerksicherheit im Klaren sein. Ausserdem sollten sie sich darüber im Klaren sein, was sie für die Sicherheit dieser Systeme tun können.
-Verantwortung: Alle Teilnehmer sind für die Sicherheit der Informationssysteme und Netzwerke verantwortlich.
-Reaktion: Teilnehmer sollten zeitnah und kooperativ handeln, um Sicherheitsvorfällen vorzubeugen, Vorfälle zu entdecken, und auf Vorfälle zu reagieren.
-Risiko Audits: Die Teilnehmer sollten Risiko Audits durchführen.
-Sicherheitskonfiguration und -implementierung: Die Teilnehmer sollen Sicherheit als ein wesentliches Element der Informationssysteme und Netzwerke leben.
-Sicherheitsmanagement: Die Teilnehmer sollten einen umfassenden Ansatz für das Sicherheitsmanagement wählen.
-Neubewertung: Die Teilnehmer sollten die Sicherheit der Informationssysteme und – netzwerke überarbeiten und neu bewerten. Ausserdem sollten sie angemessene Modifizierungen der Sicherheitspolicies, Arbeitsabläufe, Maßnahmen und Prozesse durchführen.
-Es geht los: Wie auch immer der aktuelle Organisationsgrad Ihrer Organisation zu Zeit ist – der erste Schritt der Implementierung eines ISMS – System ist immer die Zustimmung und Unterstützung durch das Management. Motivation und Führung muss jetzt durch das Topmanagement geleistet werden. Das Management muss sich in dieser Phase aktiv engagieren und die Richtung für das ISMS – System angeben. Das System muss mit dem strategischen Ansatz der Organisation kompatibel sein. Ausserdem sollte das Management Schlüselbegriffe wie Policies und Ziele als Führungsinstrumente nutzen. Der Erfolg wird eintreten wenn das Management die Gründe für die Implementierung eines ISMS – Systems nachvollziehen kann und die Implementierung und den Betrieb voll und ganz unterstützt.

Die Planung,die den Erfolg sicherstellt

Wie bei jedem anderen Projekt auch, wird der Erfolg umso wahrscheinlicher, je realistischer und überlegter man vorgeht. Wichtig ist, die tatsächliche Performance mit den Planvorgaben abzugleichen und auf unvorhergesehene Ereignisse angemessen reagieren zu können. Der Plan sollte unter Berücksichtigung des Zeitfaktors und der knappen Resource erstellt werden. Das Top – Management sollte die erforderlichen Resourcen bereitstellen. Die Gesamtverantwortung liegt immer beim Top – Management und oft auch bei der IT – Abteilung. Allerdings hat die IT – Sicherheit einen durchaus weiteren Ansatz als nur IT – Systeme. Darüber hinaus berührt sie das Personal, die Sicherheit, physische Sicherheit und rechtliche Regelungen. Wenn in Ihrem Unternehmen bereits ein Qualitätsmanagementsystem vorhanden ist, dann kann man ISO 27001 mit der ISO 9001:2015 kombinieren und als Basis für das ISMS – System nutzen. Handelsorganisationen und Verbände, die die Zertifizierung bereits absolviert haben, können gute Quellen für Informationen und Erfahrungen sein. Man kann bei ihnen erfahren wie man am besten startet bzw. man kann seine Erfahrungen mit ihren abgleichen. Vielleicht möchten Sie auch erstmal einen LRQA Training besuchen? Dort können Sie mit anderen Teilnehmern oder Ihrem über IT – Sicherheit diskutieren.

Die Norm verstehen

Der erste Schritt sollte sein, sich mit der neuen Norm zu befassen. Man sollte die Kriterien, die es zu beachten gilt, nachvollziehen können. Auch die Struktur der Norm und die Struktur des eigenen zukünftigen ISMS – Systems und der dazu gehörigen Dokumentation sollte nachvollzogen worden sein. Die Norm weist zwei Teile auf:
-ISO 27002 selber ist keine Norm, sondern eine Handlungsanweisung, die Sicherheits – und Überwachsungsziele beschreibt, die man auswählen und implementieren kann, um bestimmte Risiken der IT – Sicherheit auszuschließen.
-ISO 27001 ist die Management System Norm, die die Anforderungen an die Zertifizierung des ISMS – System definiert. Diese Norm umfasst alle gemeinsamen Elemente eines Management Systems: Policy, Leadership, Planung, Betriebsablauf ( operations ), Management Review und Verbesserungswesen ( impovement ).
-Sie enthält ein Kapitel, das sich speziell mit der Identifizierung von Risiken des Informationssystems beschäftigt und einer Auswahl von passenden Kontrollmechanismen, die man mit der Norm abgleichen kann ( Annex A )

Was kommt als nächstes?

Es gibt zwei Hauptelemente in einem ISMS – System. Diese Hauptelemente können als zwei unterschiedliche Aktivitäten behandelt werden. ISO 27001 fordert die Implementierung eines ISMS – Systems, um die Sicherheitsanforderungen Ihres spezifischen Geschäfts zu identifizieren und zu dokumentieren. Die Norm fordert auch, dass die Managementprozesse definierte Vereinbarungen, Verantwortlichkeiten und Überprüfbarkeit beinhalten. D.h. Führung, Kontext, Management Review und Verbesserungswesen.

Management Prozesse

Diese Prozesse sind hinsichtlich der effektiven Implementierung eines ISMS – Systems als kritisch zu bezeichnen. Wenn Ihre Organisation bereits mit einem Qualitätsmanagementsystem wie der ISO 9001:2015 arbeitet, dann werden Ihnen diese Prozesse bekannt vorkommen. Wenn das der Fall ist, dann ist die Integration des Forderungskataloges des neuen ISMS – Systems in das vorhandene Management System, die ideale Vorgehensweise. Denn das stellt sicher, dass die Sicherheitsexpertise dort verfügbar ist, wann und wo sie gebraucht wird. Wenn Sie diese Prozesse zum ersten Mal implementieren, dann denken Sie bitte an die ganzheitliche Absicht dieser Managementsystemanforderungen. Stellen Sie sicher, dass das Topmanagement sich der Thematik annimmt, denn das Topmanagement hat die Verantwortung für die Effektivität des Management Systems und das ISMS soll von Ihm „betrieben“ werden. Adäquate Resources ( Personal, Ausrüstung, Zeit und Geld ) sollten in die Entwicklung, Implementierung und Überwachung des ISMS – Systems investiert werden. Ein internes Audit überprüft, ob das ISMS – Management System wie geplant funktioniert und auch Verbesserungsmöglichkeiten aufzeigt. Durch das Management Review hat das Top Management erstmals die Möglichkeit der Auditierung und kann feststellen wie gut das System funktioniert und wie es die Geschäftstätigkeit unterstützt. Vielleicht finden Sie es sinnvoll, diese Managementprozesse mit den Überwachungszielen in Annex A zu verbinden, denn viele dieser Überwachungsmechanismen komplettieren die Managementanforderungen der ISO 27001.
Definieren Sie den Umfang
Es ist sehr wichtig, dass Sie den logischen und geographischen Umfang des ISMS – Systems so genau bestimmen, dass die Grenzen und die Verantwortlichkeiten Ihres ISMS – Systems klar sichtbar werden. Der Umfang sollte die Personen, Räume und Informationen identifizieren, die von der Einführung des ISMS – Systems betroffen sind. Sobald Sie den Umfang definiert und dokumentiert haben, können Sie die betroffenen Informationsbereiche identifizieren. Dann können Sie ebenfalls ihren Wert und „Owner“ festlegen.

ISMS Vorschriften ( Policy )

Die Anforderungen, die sich auf die ISMS Vorschriften ( Policies ) beziehen, sind in beiden Normen ISO 27001 (5.2) und ISO 27002 vorhanden. Es gibt auch Referenzen, die die Policy betreffen, die sich in anderen Forderungen der ISO 27001 oder im Annex A befinden. Das wiederum liefert weitere Hinweise darauf, was die Policy beinhalten sollte. Zum Beispiel sollten die ISMS – Ziele mit den ISMS – Richtlinien ( Policy ) konsistent sein (6.2). Andere Richtlinien (Policies) werden erforderlich sein, um einige Überwachungsziele zu erreichen.

Risiko – Auditierung und Risikomanagement

Die Risiko – Auditierung ist das Fundament, auf dem jedes ISMS – System errichtet wurde. Es liefert den Focus für die Implementierung der Sicherheitsüberwachung und stellt sicher, dass sie dort angewendet werden, wo es am nötigsten ist. Außerdem müssen sie kosteneffizient sein und dürfen nicht dort angewendet werden, wo sie am wenigsten nützen. Die Risiko – Auditierung hilft die Antwort auf die Frage zu liefern: Wieviel Sicherheit brauchen wir? Eine der Hauptbetrachtungsweisen ist, dass man Risiko in einem positiven wie auch negativem Licht sehen kann. Risiko wird als Unsicherheit über Ziele definiert. Deswegen ist es sehr wichtig, dass man die Chancen, die sie nutzen wollen, ebenfalls betrachtet. Der Risiko – Audit umfasst alle „owners“ von Informationsbestände. Man wird ohne sie kein effektives Risiko-Audit durchführen können. Der erste Schritt ist es eine Risiko Audit – Methode festzulegen und zu dokumentieren. Es gibt passende Methoden, die meist computerbasiert sind, wie z.B. CRAMM. ISO 31000 enthält weitere Informationen darüber, wie man die richtige und passende Methode für die spezifische Struktur und Komplexität des eigenen Informationssystems findet. Der Risiko Auditierungsprozess umfasst die Identifizierung- und Bewertung der Informationsbestände. Die Bewertung muss nicht finanziell sein und kann auch Reputationsschäden und einen Kompromiss der regulierenden Vorschriften umfassen. ( das ist dann genau da, wo Ihr Kontext einen wichtigen Einfluss hat ) Dieser Prozess sollte alle Bedrohungen und Unsicherheiten umfassen und jede Chance, die mit den Informationsbeständen und deren Nutzung zu tun hat. Schließlich muss man die Höhe des Risikos festlegen und die entsprechenden Überwachungsmechanismen implementieren. Zum Beispiel ist die Bedrohung durch Verweigerung des Zugangs für ein industriell geprägtes Unternehmen in der Nähe eines petrochemischen Unternehmens wesentlich grösser als die gleiche Bedrohung für ein Büro in einem städtischen Büropark. Andersrum ist die Bedrohung von Kreditkartendatendiebstahl grösser als der Diebstahl von Produktionsdaten einer kleinen Engineeringfirma.

Risiko Behandlung

Das Risiko Audit identifiziert Risiko Levels, die dann mit dem akzeptierten Risikolevel der Sicherheitspolicy des Unternehmens abgeglichen werden müssen. Bei Risiken, die oberhalb des akzeptierten Risikolevels liegen, müssen angemessene Maßnahmen getroffen werden. Mögliche Maßnahmen wären hier zum Beispiel: Die Implementierung von Sicherheitskontrollen aus dem Annex A, die den Risikolevel auf ein akzeptables Niveau reduzieren. Der Risikiolevel sollte neu kalkuliert werden, um zu bestätigen, dass das Restrisiko unter dem akzeptablen Level ist. Die ausgewählten Überwachungsinstrumente werden in das „Statement of Applicabillity“ aufgenommen. Dieses enthält die Begründung für die Aufnahme oder den Ausschluss jedes Überwachungsinstruments. Außerdem zeigt es den Status an und ermöglicht die Nachvollziehbarkeit durch den Risiko Audit.

Das Risiko in Übereinstimmung mit der Management Policy und den Kriterien für Risiko Akzeptanz akzeptieren.

Es kann sein, dass es Fälle gibt, bei denen das Restrisiko trotz der eingeleiteten Maßnahmen höher als das akzeptable Risiko ist. In diesem Fall sollte das Restrisiko Teil des Risikoakzeptanzprozesses werden. Eine Aufzeichnung der „managements acceptance of risks“ sollte ebenfalls vorgehalten werden.

Das Risiko eliminieren, indem man die Sicherheitsumgebung ändert

Zum Beispiel, indem man sichere Anwendungen installiert, bei denen Schwachstellen, die man während des Datenverarbeitungsprozesses entdeckt hat, ausgemerzt sind; oder indem man physische Gegenstände in ein höheres Stockwerk transportiert, wenn zum Beispiel die Gefahr von Überschwemmungen droht. Solche Entscheidungen müssen geschäftliche und finanzielle Betrachtungen in Erwägung ziehen. Noch einmal – das Restrisiko sollte nochmal entsprechend den Risikovermeidungsmaßnahmen re- kalkuliert werden.

Verschiebung des Risikos durch Herausnahme einer angemessenen Versicherung oder Outsourcing des Managements von physischen Anlagen oder Businessprozessen.

Die Organisation, die das Risiko akzeptiert, sollte sich dessen bewusst sein und damit einverstanden sein, ihre Verpflichtungen zu erfüllen. Verträge mit Organisationen, die Leistungen outsourcen, sollten die spezifisch passenden Sicherheitsanforderungen erfüllen. Der Risikoplan wird dafür eingesetzt, die Risiken zu managen, indem man die geplanten und durchgeführten Maßnahmen identifiziert. Darüber hinaus sind die Zeitpläne für die Vervollständigung der ausstehenden Maßnahmen zu berücksichtigen. Die Planung sollte die Maßnahmen priorisieren und alle Verantwortlichkeiten und detaillierten Maßnahmenpläne enthalten.

Zertifizierung

Nicht alle Zertifizierungsunternehmen sind gleich. Wenn Sie mit einem Zertifizierungsunternehmen zusammenarbeiten, dann möchten Sie sichergehen, dass es durch eine nationale Akkreditierungsorganisation akkreditiert ist. Bei Lloyd´s ist das die UKAS ( United Kingdom Accreditation Service ). Besuchen Sie die Website ( www.ukas.com ), wenn Sie weitere Informationen über die Akkreditierung benötigen. Zertifizierung ist eine externe Bewertung Ihres Managementsystems. Sie bescheinigt, dass sie die Anforderungen der ISO 27001:2013- der internationalen Informationssicherheitsmanagement-Norm, gerecht werden. Die Wahl Ihrer Zertifizierungsgesellschaft wird ebenfalls eine Menge darüber aussagen, wie wichtig Sie Managementsysteme halten. Sie sollten eine Zertifizierungsgesellschaft auswählen, die Ihnen helfen kann Ihr Managementsystem so zu entwickeln, dass es sein ganzes Potential ausschöpfen kann. Alle LRQA – Auditoren durchlaufen einen rigorosen Auswahlprozess und Trainingsprogramm, dass von einem kontinuierlichen, permanenten persönlichen Entwicklungsplan begleitet wird. Das gibt Ihnen die Sicherheit, dass wenn Sie LRQA als Ihre Zertifizierungsgesellschaft auswählen, Sie die Sicherheit haben, einen gründlichen aber auch fairen Zertifizierungsprozess zu durchlaufen. Darüber hinaus unterstützen Sie damit den fortlaufenden Entwicklungsprozess Ihres Managementssystems. Darüber hinaus, da die LRQA Marke weltweit anerkannt ist, wird Ihre LRQA – Zertifizierung dafür sorgen, dass Einkäufer weltweit Vertrauen in Ihre ISO 27001 Zertifizierung und Ihr Managementsystem haben werden.

Warum sollte man LRQA wählen?

LRQA kann Sie bei der Verbesserung Ihrer Systeme und dem Management von Risiken unterstützen. LRQA hilft Ihnen Ihre jetzige und zukünftige Leistung der Organisation zu verbessern. Durch das Verständnis was wichtig für Ihre Organisation und Ihre Stakeholders ist, helfen wir Ihnen Ihr Managementsystem und Ihr Business zum selben Zeitpunkt zu verbessern.

Gedankliche Führung

Unsere Experten sind anerkannte Stimmen in der Industrie und nehmen regelmässig an Sitzungen technischer Kommitees teil, die Normen verbessern und entwickeln.

Technische Expertise

Das technische know – how und die Projektmanagement Expertise unserer weltweit anerkannten und hochausgebildeten ISMS – Experten stellt sicher, dass unsere Dienstleistungen an Ihre Geschäftsanforderungen anpassen.
Wir verbinden internationale Expertise, tiefe Einsicht in die Informationssicherheit mit“ first Class“ Projektmanagement – und Kommunikationsfähigkeit. Wir sind keine Aktiengesellschaft und daher unabhängig und unteilbar in Allem was wir tun. Wir sind dazu verpflichtet, zu jeder Zeit, integer und objektiv zu handeln. Weitere Informationen erhalten Sie unter Carl.Ebelshaeuser@lrqa.com oder +49 (0)221 96757700 oder http://www.lrqa.de/kontakt-und-info/anfrage-an-lrqa.aspx

Lloyd´s Register Deutschland GmbH ( http://www.lrqa.de ) wurde 1985 gegründet und ist eine der international führenden Gesellschaften für die Auditierung von Managementsystemen und Risikomanagement. LRQA bietet Schulungen und Zertifizierung von Managementsystemen mit Schwerpunkten in folgenden Bereichen: Qualität, Umweltschutz, Arbeitssicherheit, Energiemanagement, Auditierung von Lieferketten. Mit mehr als 45 Akkreditierungen und Niederlassungen in 40 Ländern kann LRQA Auditierungen in 120 Ländern durchführen. Weltweit betreuen 2.500 Auditoren mehr als 45.000 Kunden. LRQA gehört zur Lloyd´s Register Gruppe. Lloyd“s Register wurde 1760 als erste Gesellschaft zur Schiffsklassifizierung gegründet und bietet heute Dienstleistungen im Bereich Risikomanagement. Die Lloyd´s Register Gruppe ist ein gemeinnütziges Unternehmen gemäß englischem Charity-Recht, d.h. die Gewinne werden für eine gemeinnützige Stiftung verwendet bzw. wieder direkt ins Unternehmen investiert. Hierdurch ist LRQA wirtschaftlich unabhängig. Weiter Information erhalten Sie durch info@lrqa.de oder 0221- 96757700. Den LRQA-Newsletter erhalten Sie unter: http://www.lrqa.de/kontakt-und-info/news-abonnieren.aspx Weitere Infos unter: http://www.lrqa.de/standards-und-richtlinien/angebot-anfordern.aspx

Kontakt
Lloyd´s Register Deutschland GmbH
Carl Ebelshäuser
Adolf Grimme Allee 3
50829 Köln
+49 (0)221 96757700
info@lrqa.de
http://www.lrqa.de