Beim Informationssicherheitsmanagementsystem geht es darum in Ihrem Unternehmen Regeln, Richtlinien und Prozesse zu etablieren, mit denen gewährleistet werden kann, dass das IT-Sicherheitsniveau in Ihrem Unternehmen durchgängig hoch ist und bleibt. Kernelement eines jeden ISMS ist die methodische Analyse von IT-Sicherheitsrisiken und die darauf basierende Auswahl von wirksamen IT-Sicherheitsmaßnahmen.

ISO 27001 ist eine international anerkannte und zertifizierbare Norm für Informationssicherheitsmanagementsysteme. Die Norm beschreibt verschiedene Basisanforderungen an ein ISMS (z.B. die Existenz eines funktionierenden Risikomanagementprozesses) und an begleitende IT-Sicherheitsmaßnahmen (z.B. ein Sicherheitsbewusstsein oder Verschlüsselungsverfahren) die für eine erfolgreiche Zertifizierung etabliert sein müssen.
Entgegen der häufig verbreiteten Meinung, mach die Norm kaum vorgaben dazu ob und wie Aspekte des ISMS dokumentiert sein müssen, sondern legt den Fokus vielmehr darauf, dass das Managementsystem im Unternehmen effektiv gelebt wird und wirksam ist.

TISAX ist ein IT-Sicherheits-Label der Automobilindustrie. Unternehmen können dieses Label durch ein erfolgreiche Auditierung erwerben, dürfen dies jedoch nur über eine speziell dafür vorgesehene Plattform kommunizieren. Um das TISAX-Label zu erhalten muss ein Katalog von verbindlichen IT-Sicherheitsmaßnahmen umgesetzt werden. Jede Sicherheitsmaßnahme wird im Audit hinsichtlich des Reifegrads ihrer Umsetzung bewertet. Um das Audit zu bestehen muss insgesamt ein bestimmter durchschnittlicher Reifegrad erreicht werden.
TISAX geht insofern über die ISO 27001 hinaus, als dass die Existenz eines ISMS (und die Zertifizierung nach 27001) eine Voraussetzung für den Erwerb des TISAX-Labels ist. Darauf aufbauend macht TISAX viel mehr konkrete Vorgaben zu der Umsetzung und Ausgestaltung von Prozessen, Richtlinien und IT-Sicherheitsmaßnahmen.

Aus eigener Erfahrung wissen wir, dass viele Beratungsunternehmen im ISMS-Bereich einen „dokumentenbasierten“ Beratungsansatz verfolgen. Den Kunden wird dabei zu allererst ein Bündel mit zahlreichen Dokumentenvorlagen bereitgestellt, die anschließend vom Kunden selbst ausgefüllt und angepasst werden müssen – zwar unter Anleitung des Beratungsunternehmens, jedoch häufig ohne dabei detailliert in die bestehenden Unternehmensprozesse und -strukturen einzutauchen.
Die Wirksamkeit eines ISMS hängt jedoch nicht maßgeblich an der kleinteiligen und korrekten Dokumentation, sondern daran, ob das Managementsystem in Ihrem Unternehmen aktiv gelebt wird. Dazu ist es aber notwendig, dass Prozesse und Maßnahmen passgenau für Ihr Geschäftsmodell und Ihre IT-Landschaft gestaltet werden – und gleichzeitig dennoch den Anforderungen der Norm genügen.
Hier setzt unser Beratungsansatz an: wir versuchen zuallererst Ihr Geschäftsmodell, Ihre Prozesse und Ihre IT-Landschaft zu verstehen. Anschließend geben wir Ihnen konkrete Empfehlungen für neue Prozesse, die eingeführt werden müssen, Prozesse die geändert werden müssen und für IT-Sicherheitsmaßnahmen, die noch etabliert werden müssen. Erst danach erstellen wir mit Ihnen zusammen – wo sinnvoll und notwendig – Dokumentation.