Überblick der Komponenten eines ISMS

Ausgehend von den Zielen des Unternehmens und den Rahmenbedingungen (bspw. gesetzliche Vorgaben, Kundenanforderungen) in denen es operiert wird eine Sicherheitsstrategie entwickelt. Diese Sicherheitsstrategie wird dabei in einer Leitlinie zur Informationssicherheit verbindlich dokumentiert und dient als orientierender Rahmen für alle sicherheitsrelevanten Maßnahmen. Das Sicherheitskonzept sowie die Sicherheitsorganisation bilden zentrale Instrumente zur operativen Umsetzung der Sicherheitsstrategie. Während die Sicherheitsstrategie die übergeordneten Ziele und Grundsätze festlegt, sorgen Sicherheitskonzept und Sicherheitsorganisation dafür, dass diese systematisch in die Praxis übertragen werden.

Die Sicherheitsorganisation umfasst dabei die Gesamtheit der festgelegten Regeln & Anweisungen, Prozesse & Abläufe sowie die dazugehörigen organisatorischen Strukturen. Sie definiert Verantwortlichkeiten und stellt sicher, dass Informationssicherheitsanforderungen dauerhaft und nachvollziehbar umgesetzt werden.

Das Sicherheitskonzept konkretisiert diese Vorgaben, indem es den Informationsverbund beschreibt und eine strukturierte Risikobewertung sowie die daraus abgeleitete Risikobehandlung enthält. Auf diese Weise werden identifizierte Risiken systematisch analysiert und durch geeignete Maßnahmen adressiert.

Die nachfolgende Abbildung fasst die nach [BSI, Oktober 2017BSI, Bundesamt für Sicherheit in der Informationstechnik (Oktober 2017): "BSI-Standard 200-1: Managementsysteme für Informationssicherheit (ISMS)". (Link)], S. 16f. beschriebenen Punkte grafisch zusammen. Die Elemente der Grafik sind auf die entsprechenden Stellen im Wiki verlinkt.