Von der Inventarisierung bis zur Zertifizierung – Informationssicherheits-Management mit otris isms

Unternehmen nutzen otris isms, um Informationen (z.B. über Produktionsverfahren oder Geschäftsprozesse) als immaterielle Vermögenswerte zu sichern und auf Schutzziele wie Vertraulichkeit, Verfügbarkeit sowie Integrität zu prüfen. Neben dem Informationsschutz ist ein weiterer Hauptnutzen der Fachlösung die Unterstützung bei ISMS-Zertifizierungsprozessen.

Software für Ihr Informationssicherheits-Management
otris isms hilft Ihnen bei der Planung/Konzeption, Umsetzung, Erfolgskontrolle/Überwachung sowie ständigen Verbesserung Ihrer Informationssicherheit. Das ISMS unterstützt Sie dabei, Informationssicherheits-Risiken zu identifizieren, zu bewerten und zielgerichtet durch Schutzmaßnahmen zu reduzieren. Unabhängig davon, ob Ihr Unternehmen das ISMS ausschließlich zum Schutz wertvoller Informations-Assets einsetzt oder eine Zertifizierung anstrebt: otris isms unterstützt Sie bei einer strukturierten Umsetzung Ihres unternehmensweiten Sicherheits-Systems und ist das Fundament, um eine ganzheitliche Informationssicherheits-Kultur in Ihrem Unternehmen zu etablieren. Die einfach zu bedienenden Dokumentations-, Schulungs- und Steuerungswerkzeuge sind die technische Basis für eine erfolgreiche operative Arbeit im Tagesgeschäft.

Asset-Erfassung und ihre Bewertung
Unternehmen definieren in otris isms Verantwortungsbereiche, Rollen, die Leitlinie und den Geltungsbereich bzw. Scope. Zusätzlich dokumentieren sie in dem System Anforderungen und Ziele des Informationssicherheitssystems. Sind Planung und Informationsverbund erstellt, können Unternehmen mit der ISMS-Lösung ihre Asset-Struktur und ihr Asset-Inventar erfassen.

Dabei werden sowohl Primary-Assets (Businessprozesse- und Aktivitäten sowie zugehörige Informationen) als auch Supporting-Assets (z.B. Hard- und Softwareware, Netzwerke, Mitarbeiter, Gebäude) berücksichtigt. Zur Asset-Erfassung integriert das System ein leicht bedienbares Dokumentationsmodul: Nach vordefinierten Kriterien beschreiben verantwortliche Mitarbeiter ausgewählte Assets. Sie gruppieren zusammenhängende Assets und fügen Beziehungen zu anderen Assets hinzu. Aus dem Asset-Inventar erstellt das otris Information Security Management System dann automatisch einen Netzplan. Dieser hilft Ihnen dabei, einzelne Assets oder Asset-Gruppierungen im gesamten Prozess zu betrachten und Relationen zu identifizieren. Die Asset-Dokumentation als Informationsverbund und der dazugehörige Netzplan sind Grundlage für die anschließende Modellierung und Risikoanalyse nach den einschlägigen Normen wie z.B. der BSI- oder ISO-Reihe.

Zertifizierung
otris isms begleitet Sie bei der Vorbereitung und Durchführung von Zertifizierungs-Prozessen sowie internen und externen Audits. Die Software beinhaltet Kataloge zur ISO/IEC 2700x sowie zur CISIS12®-Reihe. Das Informationssicherheitsmanagementsystem kann darüber hinaus um individuelle, branchenspezifische Regelwerke erweitert werden.

Risikoanalyse und Sicherheitskonzept
Auf Basis der Risikoanalyse und -bewertung leiten Unternehmen entsprechende Maßnahmen zur Risikobehandlung ab und entwickeln ein ganzheitliches Sicherheitskonzept. otris isms unterstützt an dieser Stelle sowohl die quantitative Bewertung nach ISO und CISIS12^®  als auch die qualitative Bewertung nach BSI. Die internationale Norm ISO gibt Referenzmaßnahmen (aus Anhang A der Norm) vor. Unternehmen definieren spezifische Gefährdungen und ordnen deren Auswirkungen auf den notwendigen Schutzbedarf ein. Risikoszenarien werden erfasst, das Risiko entsprechend beurteilt und Handlungen abgeleitet. Der BSI-Grundschutzkatalog liefert hingegen typische Gefährdungen, die bereits bewertet und zum Teil mit empfohlenen Maßnahmen versehen sind. Anwender können den Grundschutzcheck nach Schutzbedarfsstufen individuell durchführen. In otris isms ist eine Auflistung aller Gefährdungen des Grundschutz-Kompendiums integriert und die vom BSI gegebenen Maßnahmenempfehlungen werden automatisch zugeordnet. Eine eigene Risikoanalyse ist nur bei erhöhtem Schutzbedarf notwendig. Die anschließende Erfolgskontrolle und Überwachung der Maßnahmenumsetzung und Zielerreichung runden das Sicherheitskonzept ab. Selbstverständlich kann otris isms auch um eigene Maßnahmen und Gefahrenkataloge erweitert werden.

Audits und Management-Review
otris isms vereinfacht das Verfahren einer Neu- oder Re-Zertifizierungen und unterstützt Sie bei der Planung und Durchführung von externen und internen Audits. Die benötigten Daten werden über Fragebögen, die Sie selbst erstellt können, direkt bei den zuständigen Personen erhoben und automatisiert eingelesen. otris isms bietet Ihnen managementgerecht aufbereitete Reports auf Knopfdruck. Damit sparen Sie nicht nur Zeit, sondern schaffen auch mehr Transparenz und Messbarkeit. Das System zeigt Ihnen den Ist-Zustand sowie die Abweichungen zum Soll-Zustand. Die Kontrolle der Einhaltung, die kontinuierliche Verbesserung im gesamten ISMS-Prozess sowie die Anpassung an neu identifizierte Risiken sind entscheidend für eine gesteuerte Informationssicherheit in Ihrem gesamten Unternehmen. Ein intuitives Management-Cockpit liefert eine detaillierte Übersicht darüber, welche Mitarbeiter welche Rollen und Verantwortungen innerhalb des Sicherheitskonzeptes einnehmen und ob sie ihre zugeteilten Aufgaben zuverlässig bearbeitet haben. Das Cockpit zeigt zusätzlich interne und externe Audit-Resultate, den aktuellen Status im Risikomanagement.