ISMS-Tools in der Praxis: Anforderungen & Funktionen für effektiven ISMS-Betrieb

ISMS-Tools in der Praxis (2)

Unterstützung des ISMS-Betriebs durch dedizierte Tools

Im Rahmen des Aufbaus eines ISMS stellt sich häufig die Frage, wo und womit man die dabei entstehenden und benötigten Informationen dokumentiert und pflegt. ISMS-Tools konzentrieren sich primär darauf, die Anforderungen eines oder mehrerer Standards in ein Datenmodell abzubilden. Die eigentlichen Betriebsaufgaben eines ISMS und ihre Unterstützung liegen häufig nicht im Fokus der Werkzeuge. Dieser Artikel beleuchtet die durch ein ISMS-Tool zu unterstützenden Aufgaben und die dafür benötigte Funktionalität, um Auswahl, Beschaffung oder Entwicklung solcher Tools zu unterstützen.

Von Knut Haufe, Berlin

Aufbauend auf den Stolpersteinen und Erfolgsfaktoren sowie dem Prozessreferenzmodell zum Betrieb eines ISMS (grundschutzkompatibel) auf ISO/IEC TS 27022:2021 wird im Folgenden prozessweise beschrieben, welche Funktionen ein ISMS-Tool zur Unterstützung sowohl von ISO/IEC 27001 als auch dem BSI IT-Grundschutz umfassen sollte. Diese Übersicht lässt sich sowohl als Checkliste für die Auswahl eines passenden ISMS-Tools als auch für Vergleichsanalysen aktueller ISMS-Tools verwenden.

Hinsichtlich der in Tabelle 1 dargestellten Prozesse wird unterschieden zwischen:

1. Tool-spezifische, administrative Prozesse

Prozesse zur Administration des ISMS-Tools oder technischer Schnittstellen zu anderen Tools.

2. Methodenabhängige Basis-Prozesse

Prozesse oder Elemente einer standardspezifischen Methodik – etwa BSI-Standard 200-2 oder ISO/IEC 27001.

3. ISMS-Betriebsprozesse

Basierend auf ISO/IEC 27001, BSI IT-Grundschutz und dem Prozessreferenzmodell nach ISO/IEC TS 27022.

(Tabelle 1: ISMS-Tool-Prozesse im Überblick – ausgelassen, da nur Bildreferenz)

Im Folgenden wird prozessweise dargestellt, wie und mit welchen Funktionen ein ISMS-Tool die einzelnen Prozesse unterstützen sollte.

Rollen- und Berechtigungsmanagement

Ziel ist die Gewährleistung des Need-to-know-Prinzips sowie der Arbeitsfähigkeit im ISMS-Tool. Unterstützte Tätigkeiten:

• Anlegen, Bearbeiten und Sperren von Nutzern und Rollen

• Berechtigungssteuerung auf Ebene von Informationsverbünden, Objekten oder Funktionen

• Integration in Verzeichnisdienste (z. B. Active Directory, SSO)

• Rollenbasierte Workflows und Dashboards

• Protokollierung sämtlicher Zugriffe, inkl. Zeitstempel und Nutzer

Basis: BSI-IT-Grundschutz ORP.4 A3 und A12.

Stammdatenmanagement

Ziel: Abbildung multipler Versionen und Kataloge zu Anforderungen, Controls und Risiken.

Import von Katalogen

• Strukturierten Import von Anforderungen, Controls, Risiken.

• Nutzung mehrerer Versionen gleichzeitig (BSI-Kompendium, ISO Annex A).

Änderungsmanagement

Ein Transition-Workflow unterstützt Änderungen der Kataloge:

• Neue Anforderung → To-do-Liste, regelbasierte Termine

• Wegfall einer Anforderung → Auswahl „beibehalten und transformieren“ oder löschen

• Unveränderte Anforderung → keine Aktion

• Geänderte Formulierung → automatischer Bearbeitungsprozess

Basis: BSI-Kompendium, ISO Annex A, weitere Controls.

Asset-/Strukturanalyse

Ziel: vollständige & standardkonforme Dokumentation der Assets.

Erfassung von Assets, Scopes, Verbünden

• Vorkonfigurierte Pflicht- & optionalen Felder

• Zuordnung zu Scopes/Verbünden

• Schachtelung von Verbünden

• Einheitliches Datenmodell (ein Asset, mehrere Sichten)

• Dokumentation der Scope-Abgrenzung

Import & Schnittstellen

• Einmaliger oder automatischer Import

• Standardisierte Schnittstellen

• Workflow-basiertes Nachpflegen unvollständiger Daten

Customizing & Gruppierung

• Eigene Asset-Attribute definierbar

• Workflow zur Gruppierung

• Assistent für Gruppenpflege

Basis: BSI 200-2 Kap. 3.3.4 und 8.1, ISO 27001 Annex A 5.9.

Anforderungsmanagement / Schutzbedarfsfeststellung

Ziel: Schutzbedarf pro Asset für Vertraulichkeit, Integrität und Verfügbarkeit dokumentieren.

Unterstützte Tätigkeiten

• Anpassbare Schutzbedarfskategorien

• Planung & Durchführung von Interviews (inkl. Teams-Einladungen)

• Audit-Trail für jeden Eintrag

• Dashboard für ISB zur Qualitätskontrolle

• Automatische Vererbung inkl. Abweichungsdokumentation

• Automatische Re-Vererbung bei Änderungen

• Schutzbedarfsreviews per Workflow

• Strukturiertes Anforderungsmanagement

Basis: BSI 200-2 Kap. 8.2, BSI ISMS.1.A2/A6/A9–11, ISO 27001 Kap. 4.2, 5.1.b, 6.2.c, 8.1.

Modellierung / Statement of Applicability (SoA)

Ziel: Ableitung und Dokumentation angemessener Maßnahmen.

Unterstützte Tätigkeiten

• Modellierungsautomatismus nach BSI-Regeln

• Anpassbare & zusätzliche Bausteine

• Workflows für Outsourcing-Modellierung

• Automatische Erstellung des SoA

• Begründungen dokumentierbar

Basis: BSI 200-2 Kap. 8.3, ISO 27001 Kap. 6.1.3.d.

Grundschutz-Check / Gap-Analyse

Planung

• Rollenbasierte Dashboards

• Terminierung, Wiedervorlage

• Automatische Ansprechpartnerzuordnung

• Nutzung von Referenzen (BSI GSTOOL-ähnlich)

Dokumentation

• Status, Entbehrlichkeit, Interviewdaten

• Regelbasierte Pflichtfelder

• Verifikation und Verifikationsplanung

• Teilanforderungen möglich

Trigger für Folgeprozesse

• „nein“ / „teilweise“ → temporäres Risiko

• „entbehrlich“ → pflichtige Begründung, keine Akzeptanz bei Basisanforderungen

Basis: BSI 200-2 Kap. 8.4.

Risikoanalysen

Unterstützung folgender Schritte:

• Automatische Auswahl relevanter Zielobjekte

• Vorbelegung durch Bausteine, Schutzbedarf & Grundschutz-Check

• Standardkonforme Risikoanalysefelder

• Dokumentation von Eigentümern

• Temporäre Risikoakzeptanz inkl. Review

• Dashboards für Eigentümer

• Risikolandkarte, Meldungsfunktion

Basis: BSI 200-2 Kap. 8.5, BSI 200-3, ISO 27001 Kap. 6.1.2 / 6.1.3.

Stakeholder- & Anforderungsmanagement

Ziel: umfassendes Verständnis der Stakeholder-Erwartungen.

Unterstützte Tätigkeiten

• Strukturierte Stakeholder-Dokumentation

• Attributierung von Anforderungen

• Gruppierung & Konfliktlösung

• Automatische Generierung von Risiken

• Berichte intern/extern

• Zuweisung & Bewertung von Anforderungen

Basis: BSI 200-2 Kap. 3.2.1, BSI 200-1 Kap. 3.2.1 & 7.1, ISO 27001 Kap. 4.2, 5.1.b, 6.2.c, 8.1.

Initiierung & Nachverfolgung der Maßnahmenumsetzung

Ziel: Umsetzung des Risikobehandlungsplans sicherstellen.

Planung

• Maßnahmenbündel & Projekte

• Reihenfolge, Fristen, Verantwortlichkeiten

• Kosten- & Aufwandsschätzung

• Abhängigkeiten dokumentierbar

Initiierung & Tracking

• Ticket-/E-Mail-Workflow

• Verlinkungen zu Projektplänen

• Automatische Verifikations-To-dos

• Temporäre Risiken bei Terminüberschreitung

Basis: BSI ISMS.1.A7/A10/A11, BSI 200-2 Kap. 6.4 & 9.x, ISO 27001 Kap. 8.1.

Incidentmanagement

Ziel: Identifikation, Meldung und Behandlung von Sicherheitsvorfällen.

Unterstützte Tätigkeiten

• Erfassung aus Systemen oder manuell

• Priorisierung, Klassifizierung

• Analyse & Dokumentation

• Automatische Kommunikation & Eskalation

• Trigger neuer Risiken oder Neubewertungen

Basis: BSI DER.1/DER.2.1/DER.2.3, ISO 27001 Annex A Nr. 16.

Interne Audits

Planung

• Automatisches Auditprogramm

• Dokumentation von Kriterien, Zielen, Umfang

• Regelwerke (BSI/ISO/IAF) hinterlegt

• Automatisches Runterbrechen auf Auditpläne

Durchführung

• Workflows, Fragebögen, Checklisten

• Terminplanung

• Automatisierte Kommunikation

• Upload von Nachweisen

• Automatische Berichte

Follow-ups

• To-do-Listen

• Terminkoordination Nachprüfungen

Basis: BSI DER.3.1, BSI 200-2 Kap. 10.1, ISO 27001 Kap. 9.2.

Vorgaben & Vorgabedokumente

Unterstützte Tätigkeiten:

• Mapping zu Regelungen

• Dokumentenlebenszyklusworkflow

• Attributierung von Regelungen

• Automatische Dokumentgenerierung

• Recherchefunktion für Mitarbeiter

Basis: BSI 200-2 Kap. 5.2, ISO 27001 Kap. 7.5.3.

Verträge & Dienstleistersteuerung

• Dokumentation von Dienstleistern & Konzepten

• Outsourcing-Modellierung

• Prüfung im Beschaffungsprozess

• Dienstleisteraudits & Monitoring

Basis: BSI Outsourcing-Methodik, ISO 27001 Kap. 8.1.

Sensibilisierung & Weiterbildung

• Erhebung des Sensibilisierungsniveaus

• Planung & Tracking von Trainings

• Upload & Verwaltung von Materialien

• Integration in Kalender & Tools

• Feedback-Workflows

Basis: BSI ORP.3, BSI 200-2 Kap. 4.4/4.5/9.5, ISO 27001 Kap. 7.2/7.3.

Reporting & Kommunikation

• Generierung von A.x-Dokumenten oder SoA

• Berichtsgenerator

• Zeitgesteuerte Kommunikation & Versand

Basis: BSI ISMS.1.A6, BSI 200-2 Kap. 5.2.4, ISO 27001 Kap. 7.4.

Performance-Management / Kennzahlen-Dashboard

• Definition von KPIs

• Dashboards & grafische Darstellung

• Schwellenwerte & automatische Alerts

Basis: BSI ISMS.1.A1, BSI 200-2 Kap. 10.1, ISO 27001 Kap. 9.1.

Ressourcensteuerung

• Planung benötigter Ressourcen

• Ressourcennutzungsberichte

Basis: BSI 200-2 Kap. 9, ISO 27001 Kap. 6.2 & 7.1.

Kontinuierliche Verbesserung (KVP)

• Ursachenanalysen

• Ableitung & Bewertung von Verbesserungen

• Workflow für Verbesserungsvorschläge

• Option anonymes Einreichen

Basis: BSI 200-2 Kap. 10, ISO 27001 Kap. 10.1/10.2.

Änderungsmanagement

• Steuerung von Änderungen an Assets, Schutzbedarf, Risiken etc.

• Risikoanalyse geplanter Änderungen

• Kommunikation an auslösende Systeme

Basis: BSI 200-2 Kap. 5.2/10.2, BSI OPS.1.1.3, ISO 27001 Kap. 8.1/10.2.

Steuerung von Aufzeichnungen & Nachweisen

• Strukturierte Ablage

• Berechtigungskonzept

• Aufbewahrungsfristen & Lösch-Workflow

Basis: BSI 200-2 Kap. 5, BSI ISMS.1.A13, ISO 27001 Kap. 7.5.

Fazit

Die beschriebenen Funktionen eines ISMS-Tools können genutzt werden für:

1. Auswahl eines ISMS-Tools für Aufbau & Betrieb

2. Entwicklung eigener ISMS-Tools oder Weiterentwicklung bestehender

3. Marktanalysen aktueller ISMS-Tools

Autor: Prof. Dr. Knut Haufe, Director Cyber-Security Services, EY Consulting GmbH.