Was ist eine Informationssicherheitsrichtlinie?

Eine Informationssicherheitsrichtlinie (ISP) ist wohl die wichtigste Cybersicherheitsrichtlinie, die ein Unternehmen haben kann. Im Wesentlichen definiert ein ISP die Protokolle und Verfahren zur Identifizierung, Bewertung, Eindämmung und Wiederherstellung von Sicherheitsbedrohungen. Ein ISP ist datenzentriert, da sein Hauptziel darin besteht, die Vertraulichkeit, Integrität und Verfügbarkeit der Daten zu schützen (bekannt als CIA-Triade). Ein ISP deckt ein breites Spektrum an Bereichen ab, darunter Zugriffskontrolle, Datenklassifizierung, Schulung des Sicherheitsbewusstseins und die Protokolle, die Mitarbeiter (und andere relevante Interessengruppen) bei der Interaktion mit Ihren kritischen Vermögenswerten befolgen müssen.

Die Vorteile einer Informationssicherheitsrichtlinie

IT-Umgebungen werden immer komplexer und verteilter, viele Mitarbeiter arbeiten mittlerweile remote. In solchen Umgebungen ist ein standardisierter, harmonisierter und koordinierter Ansatz zur Eindämmung und Bewältigung von Sicherheitsvorfällen erforderlich. Ein ISP erleichtert die Kommunikation mit Mitarbeitern, Auftragnehmern, Prüfern und anderen relevanten Interessengruppen über die vorhandenen Sicherheitsmaßnahmen und stellt sicher, dass sie die erforderliche Schulung zum Sicherheitsbewusstsein erhalten. Wenn Sie einen ISP haben, können Sie auch einfacher die für Ihre Branche geltenden Vorschriften einhalten, darunter HIPAA, DSGVO oder CCPA. Es ist üblich, dass Prüfer Zugriff auf die Dokumentation einer Organisation über die von ihnen durchgeführten Sicherheitskontrollen verlangen und nachweisen können, dass sie wissen, welche Daten sie haben, wo sich diese befinden und wer Zugriff darauf hat.

Gibt es eine Vorlage für eine Informationssicherheitsrichtlinie?

Leider gibt es keinen einheitlichen ISP, da verschiedene Organisationen unterschiedliche Anforderungen haben. Sie haben unterschiedliche Geschäftsmodelle, ihre Mitarbeiter verfügen über unterschiedliche Fähigkeiten und die Compliance-Verpflichtungen variieren von Branche zu Branche. Allerdings stehen zahlreiche Frameworks zur Verfügung, die hilfreiche Anleitungen für die Entwicklung eines ISP bieten. Die beiden beliebtesten Frameworks sind ISO/IEC 27000 und NIST Cybersecurity Framework - beide bieten Anleitungen zur Identifizierung, zum Schutz, zur Erkennung, zur Reaktion und zur Wiederherstellung nach Sicherheitsvorfällen. Für Organisationen, die unter Sarbanes-Oxley (SOX) fallen, könnten jedoch Frameworks wie COBIT die bessere Wahl sein. Ebenso sollten sich Organisationen, die HIPAA-Konformität anstreben, besser mit ISO 27799 befassen. Alternativ veröffentlichen einige Organisationen ihre ISP-Vorlagen, die Sie überprüfen und entsprechend anpassen können.

Schlüsselelemente einer Informationssicherheitsrichtlinie

Wie bereits erwähnt, gibt es keinen festen Ansatz für die Gestaltung eines ISP, und es ist auch erwähnenswert, dass ein ISP fast alle Bereiche der Cybersicherheit abdeckt, was, wie Sie sicher zustimmen werden, ein sehr weites Thema ist. Allerdings werden alle ISPs bestimmte Schlüsselelemente enthalten.

Einführung

Zweck: Nennen Sie die Gründe, warum Sie einen ISP benötigen. In den meisten Fällen geht es um …

Schützen Sie die Vertraulichkeit, Integrität und Verfügbarkeit Ihrer Daten
Erstellen Sie einen harmonisierten Ansatz zur Eindämmung und Bewältigung von Sicherheitsvorfällen
Nachweis der Einhaltung gegenüber den zuständigen Aufsichtsbehörden
Verbessern/schützen Sie den Ruf Ihrer Organisation

Geltungsbereich: Erstellen Sie eine Liste aller Systeme, Assets, Benutzer, Geschäftspartner und Anwendungen, die in den Geltungsbereich des ISP fallen.

Zuständiges Personal: Listen Sie alle Manager und Mitarbeiter auf, die an der Konzeption und Implementierung des ISP beteiligt sind, zusammen mit ihren Kontaktinformationen.

Körper

Erhebung und Aufbewahrung von Daten: Erklären Sie, welche Daten Sie wie, warum und für wie lange sammeln werden. Sie müssen außerdem eine kurze Zusammenfassung darüber geben, wie die Daten gespeichert werden, welche Verschlüsselungsmethoden verwendet werden und wie Sie Ihre Daten sichern.

Datenklassifizierung: Erklären Sie, wie Ihre Daten klassifiziert werden. Das einfachste Datenklassifizierungsschema wäre „Öffentlich“, „Privat“ und „Eingeschränkt“. Viele Unternehmen wählen jedoch lieber ein komplexeres Schema, das die Struktur ihres Unternehmens widerspiegelt.

Zugriffskontrolle: Sie benötigen eine Zugriffskontrollrichtlinie (ACP), die die Art der von Ihnen verwendeten Zugriffskontrollmethoden angibt, d. h. diskretionäre Zugriffskontrolle (DAC), rollenbasierte Zugriffskontrolle (RBAC) oder Obligatorische Zugangskontrolle (MAC). Anschließend müssen Sie eine Reihe von Regeln definieren, die bestimmen, welche Daten von wem und unter welchen Umständen abgerufen werden können. Sie müssen außerdem die Protokolle angeben, die es Benutzern ermöglichen, Zugriff auf Ressourcen anzufordern, einschließlich der Art und Weise/wann Zugriff gewährt/entzogen werden soll.

Acceptable Use Policy (AUP): Zusätzlich zur Kontrolle des Zugriffs auf kritische Assets müssen Sie eine Richtlinie erstellen, die festlegt, welche Benutzeraktionen akzeptabel bzw. inakzeptabel sind. Eine AUP enthält in der Regel Informationen darüber, wie Benutzer auf das Internet zugreifen und es nutzen können, einschließlich der Websites, die sie besuchen können, und der Apps, die sie installieren können. Es wird auch eine Liste von Aktionen enthalten, die als inakzeptabel gelten, darunter die Weitergabe von Anmeldeinformationen, das unbeaufsichtigte Verlassen einer Workstation während der Anmeldung oder das Herunterladen von Dateien auf ein USB-Laufwerk.

Überwachung des Datenzugriffs:Sie müssen angeben, wie Sie Änderungen an Ihren privilegierten Konten und kritischen Vermögenswerten verfolgen möchten. In den meisten Fällen verwenden Unternehmen eine Art Echtzeit-Prüfungslösung, um anomale Ereignisse automatisch zu erkennen, zu alarmieren und darauf zu reagieren.

Incident Response Plan (ISP): Die Überwachung des Zugriffs auf Ihre Systeme und Daten ist nur dann sinnvoll, wenn Sie über eine Strategie zur Reaktion auf verdächtige Ereignisse verfügen. Ein IRP ist in sechs Phasen unterteilt; Vorbereitung, Identifizierung, Eindämmung, Entfernung, Wiederherstellung und gewonnene Erkenntnisse. In den meisten Fällen, beispielsweise wenn Ihre Echtzeit-Überwachungslösung eine Warnung auslöst, die Sie darüber informiert, dass auf verdächtige Weise auf vertrauliche Daten zugegriffen wurde, überprüfen Sie einfach die Ereignisprotokolle, um festzustellen, ob es sich um eine falsche Flagge oder eine legitime Bedrohung handelte. Wenn sich herausstellt, dass es sich um eine legitime Bedrohung handelt, müssen Sie Ihren Vorfallreaktionsplan sofort umsetzen.

Patch-Management-Richtlinie: Sie benötigen gut dokumentierte Verfahren für die Installation von Patches/Updates, um Schwachstellen in Ihrer IT-Umgebung zu mindern.

Sicherheitsbewusstseinsschulung: Erklären Sie, wann und wie die Sicherheitsbewusstseinsschulung durchgeführt werden soll, einschließlich Einzelheiten dazu, wer für die Entwicklung und Präsentation des Schulungsmaterials verantwortlich ist.

Wie bereits erwähnt, ist Informationssicherheit ein großes Thema und eine ausführliche Erläuterung, wie Sie Ihre Daten schützen können, würde den Rahmen dieses Artikels eindeutig sprengen. Zusätzlich zu den oben aufgeführten Punkten müssen Sie beispielsweise auch die Art und Weise dokumentieren, mit der Ihre Daten verschlüsselt werden - sowohl im Ruhezustand als auch während der Übertragung. Sie benötigen eine Richtlinie, in der die von Ihnen getroffenen physischen Sicherheitsmaßnahmen detailliert beschrieben werden. Dazu kann die Verwendung von Schlössern, Alarmanlagen, Ausweisen und CCTV-Kameras gehören.

Zu guter Letzt benötigen Sie Richtlinien, die festlegen, wie auf vertrauliche Daten zugegriffen, diese verwendet, geändert und aus Ihrem System entfernt werden sollen. Jeder dieser Bereiche erfordert sorgfältige Überlegungen.