Reifegradanalyse der Informationssicherheit
Der sichere Betrieb von Informationstechnologien im Unternehmen gestaltet sich komplex. Zahlreiche technische, organisatorische und personelle Aspekte sind dabei zu beachten. Hinzu kommen gesetzliche Vorgaben, die eine Realisierung bestimmter Sicherheitskonzepte erzwingen. Um den Ist-Zustand der verschiedenen Konzepte und deren Zusammenspiel in Ihrem IT-Umfeld zu prüfen, bieten wir Ihnen eine entsprechende Reifegradanalyse.
Ziel
Bewertung der technischen, organisatorischen sowie personellen Sicherheitsmaßnahmen konform zu ISO/IEC 27001 und Ausarbeitung von Optimierungsmaßnahmen
Fragestellung
Entsprechen vorhandene Sicherheitsmaßnahmen den Anforderungen nach ISO/IEC 27001 und welche weiteren Maßnahmen sind für eine erfolgreiche Zertifizierung nötig?
Scope
Gesamte IT-Umgebung, definierte Teilbereiche sowie Unternehmensgebäude/-gelände (Standorte)
Ablauf
Die Reifegradanalyse wird primär auf Basis umfassender Interviews mit den IT- und Systemverantwortlichen sowie Dokumentationssichtungen und Ortsbegehungen durchgeführt. Die Interviews erfolgen auf Basis detaillierter Fragenkataloge. Die verwendeten Prüfungsmaterialien sind praxiserprobt und konform zu ISO/IEC 27001.
Bei komplexeren IT-Umgebungen erfolgt die Durchführung grundsätzlich durch zwei Auditoren, mit der Aufgabenteilung zwischen Prüfungssteuerung / Fragestellung sowie Dokumentation der Antworten.
Die Durchführung empfiehlt sich in Kombination mit einem technischen Assessment (z.B. Schwachstellenanalyse , Penetrationstest etc.).
Bestandteile
Folgende Hauptbereiche werden durch die Reifegradanalyse abgedeckt:
- Steuerung und Organisation
- Technik und Betrieb
- BCM und Notfallplanung
- Physische Sicherheit
- Vertragsbeziehungen
- Softwareentwicklung & -pflege (optional)
- Cloud Computing (optional)
Ergebnis
Als Ergebnis werden (zusätzlich zur Ergebnisdokumentation der Fragebögen und der Ableitung notwendiger Maßnahmen) Spinnennetzdiagramme erstellt, die sich hervorragend zur Präsentation des Ist-Zustands der Informations- und IT-Sicherheit gegenüber der Geschäftsleitung eignen.