Security-Management und Compliance

Compliance- und Risiko-Maßnahmen, Dokumenten-Management und eine Reifegradbewertung nach Spice
"eSEC" ist eine Software zum ganzheitlichen Informations-Security-Management-System (ISMS) nach ISO 27001

(17.09.08) - IT-Sicherheitsvorfälle in Unternehmen können weitreichende geschäftsschädigende Auswirkungen haben und / oder die Erfüllung wichtiger Aufgaben behindern. Ebenso sind alle Unternehmen grundsätzlich dynamischen Anpassungen und Veränderungen unterworfen, weil die Geschäftsprozesse, Fachaufgaben, Infrastrukturen, Organisationsstrukturen und die Informationstechnologie sich ändern und damit auch die Informationssicherheit betroffen ist. Daneben stellen gesetzliche oder vertragliche Vorgaben und Marktveränderungen, wie z.B. die Globalisierung, Anforderungen an die Informationssicherheit. Somit ist Informationssicherheit kein statischer Zustand, der einmal erreicht wird und sich niemals wieder ändert, sondern ein kontinuierlicher Prozess.

Wenn man die Vielfalt und Komplexität der Risiken rund um die Informationssicherheit erfolgreich bewältigen will, ist ein systematisches, ganzheitliches und kontinuierliches Vorgehen unumgänglich.

Alle diese Anforderungen wurden bei der Entwicklung von "eSEC" (WMC Wüpper Management Consulting) nach Herstellerüberzeugung gesamtheitlich reflektiert. "eSEC" ermöglicht durch seine umfangreichen integrierten Unterstützungsfunktionen und der Philosophie des tagesaktuellen Sicherheitsstatus die Optimierung von Zeit und Budget beim Aufbau und Management eines Information Security Management Systems (ISMS).

Bisher können nur größte Konzerne mit eigen entwickelten Teil- /Insellösungen diesen Anforderungen aufwändig begegnen, welche dafür die entsprechend große Anzahl an Mitarbeitern in den Bereichen vorhalten, die für die Informationssicherheit im Unternehmen verantwortlich zeichnen. Viele andere Unternehmen, welche nicht über umfangreiche Budgets und Mitarbeiterkapazitäten verfügen, sind häufig nur in der Lage das Sicherheitsmanagement partiell und nicht ganzheitlich zu betreiben. Oft erfolgt dieser Aufwand nur punktuell zu bevorstehenden Auditierungen. Die dabei gewonnenen Erkenntnisse werden nach erfolgtem Audit nicht weiter gepflegt. Dies hat zur Folge, dass der permanente Nachweis des aktuellen Sicherheitsstatus und ein gezieltes Management der zugehörigen Prozesse unmöglich werden und der hohe Gesamtaufwand bei nachfolgenden Auditierungen wieder umfangreich von neuem betrieben werden muss.

"eSEC" löst diese Problematik, da es alle Teilbereiche des Sicherheitsmanagements, von der konsequenten Weiterentwicklung des betrieblichen Informationssicherheitskonzeptes bis hin zum lückenlosen, aktiven Management der gesamten Sicherheitsarchitektur, beinhaltet. Orientiert an den Vorgaben durch die ISO/IEC 27001 realisiert "eSEC" ein ganzheitliches ISMS, mit welchem jederzeit der aktuelle Informations-Sicherheits-Status erkannt und bewertet (Reifegradbewertung nach Spice) werden kann und alle erforderlichen Maßnahmen permanent umgesetzt und kontrolliert werden können.

Module und Funktionen im Bereich Compliance-Management und Risikomanagement:
Compliance-Management
>> ISO/IEC 27001 / 27002 (früher 17799)
>> (Basel II, Sarbanes-Oxley Act - SOX, ...)
>> Status-Bewertung nach PDCA
>> Compliance-Bewertung (Reifegradbewertung) nach verschiedenen Ansätzen: Spice / ISO 15504, A-SIT, Solvency, weitere definierbar
>> automatische, anpassbare Wiedervorlagen für Controls
>> Definition von Compliance-Zielwerten
>> Ermittlungen der Gaps
>> automatische Maßnahmen-Generierung zum Erreichen der Ziele

Risiko-Management
>> Vorgehen nach ISO/IEC 13335-2
>> Erfassung der Kritikalität von Geschäftsprozessen
>> Ermitteln der Schwachstellen und Bedrohungen von Assets
>> Ermitteln individueller Risikowerte der Assets
>> Ermitteln der potentiellen Auswirkungen auf die Geschäftsprozesse

"eSEC" - Module und Funktionen

In einem sich ständig wiederholenden und von "eSEC" unterstützten Kreislauf (Plan - Do - Check - Act) werden über integrierte Prozesse alle Veränderungen und Verbesserungen verfolgt und der aktuellen Gesamtstatus der IT-Security ermittelt. (WMC: ra)