lnformationssicherheit

Ein Informationssicherheits-Managementsystem (ISMS) ist ein systematischer Ansatz zur Verwaltung der Informationssicherheit in einer Organisation. Es umfasst Richtlinien, Prozesse und technische Maßnahmen, um Daten und Systeme vor Risiken wie Cyberangriffen, Datenverlust und unbefugtem Zugriff zu schützen. Ein gut etabliertes ISMS hilft Unternehmen dabei, Sicherheitsrisiken zu identifizieren, zu bewerten und durch gezielte Maßnahmen zu minimieren. Zudem ermöglicht es die Einhaltung gesetzlicher und branchenspezifischer Standards und Vorschriften.

Grundsätzlich gilt: IT-Sicherheit ist kein einmaliges Thema, da sich stetig etwas verändert. Wenn ich an vergangene Zeiten bei einer der Ausbildungen zurückdenke, war damals das Thema IT-Sicherheit noch nicht "so" im Fokus wie in neuerer Zeit. Damals war es etwas überschaubarer und bald wird es eher wie in Sci-Fi Spielen und Filmen, wo "jeder" einfach fast alles kann. Hoffen wir mal, dass die AI ein paar Einschränkungen bekommt und die Sicherheitssysteme auch AI unterstützt werden. 

• Man probiert die Infrastruktur zu schützen, u.a. gegen physische Schänden (z.B. Brände) oder auch digitale Vorfälle (z.B. Cyberangriffen). Dazu muss man alles im Blick haben, also z.B. alle Geräte im Unternehmen, alle externe Anbindungen, die Datenübertragungen & Zugriffe, Personen die beschäftigt sind, Personen die verantwortlich sind und Richtlinien, damit man nichts weiteres vergisst. 
• Da man den Prozess rund um Informationssicherheit nicht nur einmal hat, muss das auch zukünftig eingeplant werden. Fortbildungen sind daher auch für Bibliotheken interessant, vor allem wenn viel mit IT-Bereichen zusammengearbeitet wird. 

Kennengelernt habe ich manche der Aspekte in der vergangenen Zeit, aber da waren es eher Teile der praktischen Umsetzungen. In einer Schulung zum Thema ISMS gab es für mich dann neue interessante Aspekt der Implementierung eines Information Security Management Systems  (ISMS) [Informationssicherheits-Management-System] und Erwähnungen des Business Continuity Management (BCM) [Management der Betriebskontinuität]. So wurde das System mit der ISO 27001 vorgestellt, in Kombination mit dem BSI IT-Grundschutz. Rahmenbedingungen in Form von Prozessen wurden dabei erläutert und organisationsspezifische Sicherheitsmaßnahmen vermittelt.

Bei der Arbeit habe ich mich auch Abschnittsweise damit beschäftigt. Meist ist dies entweder ganz minimal im Alltag mit drin, kann aber auch komplett bei IT-Abteilungen liegen (so sollte es sein) und dann bekommt man nicht mehr so viel mit. Es kommt aber auch vor, dass Bibliotheken Arbeitsaufträge für die eignen Systeme als abgespeckte Arbeitsanweisung bekommen oder Bibliotheken arbeiten direkt mit der IT als eine Abteilung.

Beispielsweise bei meinen Arbeitsstellen war dies bisher eher weniger vertreten, wird nun aber zumindest ein kleiner Teil, aber nicht mal erwähnenswert. Man könnte aber mehr dazu beitragen, jedoch sind andere Stellen in der Koordinierung. Da sollte ein Unternehmen unbedingt über die Ressourcen der Beschäftigten schauen und ggf. auch mal ein wenig mit den Zuständigkeiten spielen und Projekte zuteilen. In der Praxis gab es nun z.B. eine abgespeckte Arbeitsanweisung. Passend dazu hatte ich dann eine Schulung entdeckt. Interessanterweise ist so eine abgespeckte Arbeitsanweisung ok, aber eine Schulung z.B. tätigkeitsfern. Das ist argumentativ ok, aber man kann es auch hinterfragen. Die Tätigkeiten und die Schulung gehören zumindest jeweils nicht zum üblichsten der Bibliotheksbereiche. Meine Schulung musste ich selber bezahlen und so nutze ich die bei der Arbeit auch nicht im vollem Umfang, u.a. da ja auch keine Zeit dafür eingeplant ist, aber nun beobachte ich immerhin interessiert die Abläufe und denke mir meinen Teil dabei, wenn etwas gut oder weniger gut läuft. Dank der Schulung weiß ich jetzt, was ich schon gut gemacht hatte und was man noch verbessern könnte.

• Was man aus Theorie und Praxis mitnimmt: Einarbeiten, Prüfen und Umsetzen sind "alleine" kaum möglich, auch da man ja Fehler machen könnte. Ein Team sollte schon vorhanden sein. Was ich dann speziell noch mitnehme: Die Kommunikation zu anderen Abteilungen und die Weitergabe von Hintergründen und Arbeitsanweisungen, sollte gut geführt und stetig verbessert werden.  
• Es ist natürlich klar, dass nicht jede Stelle sich damit beschäftigen muss, aber eine Arbeitsanweisung wäre zumindest ein Stück dort hinführend. Auch aus dem Bereich kommende Berater sagen, das Unternehmen an den Stelle nicht unbedingt sparen sollten. Ganz kurz gesagt, für ein paar Ansichten habe ich Zustimmung bekommen, daher liege ich nicht so falsch bei Dingen, zu denen ich jetzt leider nichts notieren darf. Für mich ist ein Unternehmen ein Gesamtbild und andere Argumentationen stimmen damit nicht immer überein. Ein Unternehmen beim Thema Ausarbeitung der Sicherheit zu streng in Abteilungen und Bereiche zu unterteilen, kann auch ein Stein auf dem Weg sein.

Schulungen in Bereichen der Informationssicherheit kann man z.B. über eine IHK suchen und ich würde dies schon als interessant für Bibliotheken ansehen, auch wenn es ggf. nicht erforderlich ist. Je selbstständiger die IT-Bereiche der Bibliotheken sind, umso relevanter wird es. Man kann damit auch gut Inhalte nachvollziehen und bekommt eher mit, wenn etwas anders abläuft als erwartet. Ggf. argumentieren auch Stellen dagegen, die nichts mit dem Bereich zu tun haben und es gar nicht einschätzen können. Das ist dann so, als ob man nicht lernen soll eine Maschine zu verstehen, diese dann aber bedienen können soll, wenn man diese braucht.

Nun kann man einen Blick auf die Grundlagen der Informationssicherheit werfen. Im Anschluss entscheidet man sich am besten für eine Norm, an der man sich entlang arbeitet. Dabei gibt es z.B. Unterschiede in der Darreichung (ersichtlicher Umfang & realer Umfang), regionale Anforderung, bzw. Anforderungen von Auftragspartner und ggf. Zugang (Kosten). Auch sollte man Ähnlichkeiten und die spätere Möglichkeit der Kombination von Normen verstehen.

Beispielsweise arbeitet man den BSI Grundschutz ab und wirft bei den Normen und Standards z.B. einen Blick auf die ISO 27000er Reihe. ISO/IEC 27000 enthält Begriffe und Definitionen, 27001 enthält die Anforderungen an ein ISMS. 27002 enthält Empfehlungen.

Wenn man sich für einen Standard entschieden hat, kann man immer noch auf andere Varianten umsteigen oder Dinge ergänzen. Will man z.B. Datenschutz oder Prototypenschutz einbinden, kann man auch mal auf andere Standards oder praktische Beispiele schauen. D.h. Einen Standard erfüllen und dann bei den anderen Schauen, ob da noch was gutes dabei ist, oder weitere erarbeiten und diese auch erfüllen.

Schulungen und Awareness-Programme - regelmäßige Schulungen für Mitarbeiter sorgen dafür, dass Sicherheitsrichtlinien effektiv eingehalten werden. Leider bekommen meist nur die IT-Bereiche die richtigen Schulungen und der Rest des Personals bekommt Schulungen wie "Teilen Sie niemanden Ihr Passwort mit.".

Schulungen in dem Bereich sind auch für verantwortliche Personen zwar nicht zwingend erforderlich, aber beispielsweise ein Auditor kann schon darauf bestehen, um eine Sicherheit / eine Sorgfaltspflicht festzustellen. Es können aber auch ähnlich qualifizierte Stellen einzeln oder als Team diese Funktion abbilden. Es kommt vermutlich auch etwas auf die Unternehmensgröße und die verarbeiteten Daten an.

Man kann sich mit freier Literatur und auch mit kostenlosen Unterstützungsunterlagen selbst fortbilden. Tatsächlich sind alle erforderlichen Unterlagen für die BSI Norm frei zugänglich, jedoch ist der Umfang der Materialien sehr umfangreich und alleine ohne die ersten Grundinformationen, kann man sich nicht mal den Unterschied zwischen BSI und ISO erklären. Um Trugschlüsse und Einstiegsfehler zu vermeiden, ist eine Schulung daher keine schlechte Idee. Ich fand die Schulung, an der ich teilgenommen haben sehr gut, nur vergisst man viel wieder, wenn man es nicht praktisch anwenden kann. Immerhin weiß man aber, wo man nachlesen kann.

Interessante Schulungen:

• IHK IT-SICHERHEITSMANAGEMENT (ISMS): Schwerpunkt Basiswissen für den Aufbau und die Implementierung eines lnformationssicherheitsmanagementsystems (ISMS) nach der ISO 27001 in Zusammenhang mit dem BSI IT-Grundschutz.

Die erfolgreiche Umsetzung eines Informationssicherheits-Managementsystems (ISMS) erfordert eine durchdachte Strategie und die Einhaltung bewährter Methoden, wie aus den zuvor genannten Ressourcen hervorgeht. Die Punkte 1-9 sind per KI zusammengestellt, von mir gekürzt und ergänzt: Beispiel einiger Best Practices:

Aus der Praxis: 1-3 funktionieren in der Praxis ganz gut, aber an Punkt 3 kommen Unternehmen schon ins Straucheln. Ab Punkt 4 wird es dann manchmal holprig und hier geht es bis Punkt 9. Es ist definitiv nicht schlecht, einen externen Auditor zu beauftragen. Ein echtes Beispiel ist z.B. bis zu Punkt 3 gekommen, hat Punkt 4 unsachgemäß ausgeführt und übersprungen und bei anderen Dingen weitergemacht. Das geht, aber irgendwann muss man dann Punkt 4 auch aufarbeiten.

1. Klare Definition von Sicherheitszielen. [Für das Unternehmen, darunter für einzelne und spezielle Bereiche; für Abteilungen; Grundwissen beim Personal]. Stelle sicher, dass diese Ziele mit Geschäftsprozessen und Compliance-Anforderungen übereinstimmen. Standards wie ISO/IEC 27001 haben sich zur Orientierung bewährt.
2. Management-Commitment sicherstellen. Eigentlich klar, aber in der Praxis zumindest früher seltener: die Unternehmensleitung muss quasi als oberste Stelle die ISMS-Einführung unterstützen. IT und Management dürfen nicht gegeneinander arbeiten. Praxisberichte haben genau diese Schwachstellen wiederholt aufgezeigt. Sicherheitsrichtlinien sollten aktiv von der Unternehmensführung unterstützt und durchgesetzt werden. Definiere Rollen und Verantwortlichkeiten klar. Mein Tipp: es braucht eine Aufsicht, die diese Verantwortlichen überwacht. Ohne geht es ggf. nicht. Beispiele dazu darf ich leider nicht geben.
3. Risikoanalyse als Grundlage. Führe eine umfassende Risikoanalyse durch, um Bedrohungen und Schwachstellen zu identifizieren. Verwende Methoden wie den BSI IT-Grundschutz oder andere Modelle, wie zuvor genannt, zur Risikobewertung. Implementiere geeignete Sicherheitsmaßnahmen basierend auf der Bewertung.
4. Sicherheitsrichtlinien und Prozesse festlegen. Erstelle klare und verständliche Sicherheitsrichtlinien für Mitarbeiter. Definiere Prozesse für Incident Management, Zugriffskontrolle und Notfallwiederherstellung. Sorge für eine regelmäßige Dokumentation und Aktualisierung der Maßnahmen.
5. Awareness und Schulungen für Mitarbeiter. Sicherheitsbewusstsein der Mitarbeiter ist entscheidend. Regelmäßige Schulungen zu Phishing-Angriffen, Passwortsicherheit und Datenschutz durchführen. Sicherheitskultur im Unternehmen fördern. Das Problem dabei: man macht den Leuten Angst und Ernstfälle werden immer noch nicht erkannt. Praxistests haben genau das Problem gezeigt - Schwachstellen bleiben mit etwas Pech auch mit Schulung Schwachstellen; Profis brauchen nur einen Fehler und sind auch eine Schwachstelle. Es kann aber auch z.B. in einer Test-Mail drin stehen "nicht auf den Link klicken" und es klickt jemand drauf.
6. Technische Sicherheitsmaßnahmen implementieren. Einsatz von Firewalls, Intrusion Detection Systems (IDS), SIEM-Systemen und Endpoint-Sicherheit. Sicherstellung von Verschlüsselung, Multi-Faktor-Authentifizierung (MFA) und sicheren Netzwerkarchitekturen. Regelmäßige Penetrationstests und Schwachstellenanalysen durchführen. Frage: sind MFA über private Endgeräte eine Schwachstelle, da man keine Kontrolle über Updates der Geräte hat?
7. Kontinuierliche Überwachung und Verbesserung. ISMS ist ein kontinuierlicher Prozess – regelmäßige Überprüfung und Anpassung sind notwendig. Nutzung von Key Performance Indicators (KPIs; Schlüsselkennzahlen, die helfen, den Erfolg und die Leistung zu messen und zu überwachen) und Monitoring-Systemen zur Messung der Effektivität. Durchführung von internen und externen Audits zur Sicherstellung der Compliance.
8. Notfall- und Wiederherstellungspläne etablieren. Entwicklung eines Business Continuity Management (BCM) [darin Business Continuity Plans (BCP) und Disaster Recovery Plans (DRP)]. Sicherstellung, dass Backups regelmäßig getestet und gesichert werden. [Wie oft Backups wirklich getestet werden, weiß ich nicht. In Praktika, Ausbildung, Schulungen und Praxisberichten, habe ich davon wenig oder nichts gehört. Gehört aber auch zur ISMS, nicht alles auszuplaudern.]. Szenarien für den Umgang mit Cyberangriffen und Datenlecks definieren - scheitert oft schon am bestehen einer Richtlinie zur Kommunikation / Meldung von Fällen.
9. Zertifizierung und externe Bewertung. ISMS-Zertifizierung nach relevanten Standards anstreben. Externe Audits und unabhängige Sicherheitsprüfungen durchführen. Sicherheit als einen kontinuierlichen Verbesserungsprozess verstehen.

Die Punkte 1-9 sind per KI zusammengestellt, von mir gekürzt und ergänzt.

Wie man nur gehört hat, gehört zu ISMS Kommunikation. Im generellen sollte es allen möglich sein, sich einzubringen und wenn es nur über eine konstruktiv geführte Ideen-Plattform ist. Auch sollte bei allen Bereichen dafür gesorgt werden, dass keiner Angst hat, Fragen zu stellen oder Dinge zu hinterfragen und auf Fehler hinzuweisen. Davon lebt alles an der IT-Sicherheit. 

Das Business Continuity Management (BCM), ist ein strategischer Ansatz zur Sicherstellung des Geschäftsbetriebs bei unerwarteten Ereignissen. Ziel: Risiken minimieren, den Betrieb schnellstmöglich wiederherstellen und wirtschaftliche Schäden vermeiden.

BCM ist auch als betriebliches Kontinuitätsmanagement bekannt.

• Auch für diesen Bereich gibt es Schulungen. Schulungen für ISMS decken Cybersicherheit ab und Teile vom BCM, aber nicht vollständig, bzw. geht immer alles noch spezifischer und genauer.

Der Abschnitt ist per KI zusammengestellt, von mir gekürzt und ergänzt.

Bedeutung und Ziele des BCM:

BCM hilft Unternehmen, auf folgende Herausforderungen vorbereitet zu sein: Naturkatastrophen (z. B. Hochwasser, Erdbeben), Cyberangriffe (z. B. Ransomware, Datenlecks). Technische Ausfälle (z. B. Server- oder Netzwerkausfälle), Krisen & Pandemien (z. B. COVID-19 [bzw. Probleme durch aufgelegte Gesetze ;) ], Lieferkettenprobleme)

Zentrale Ziele des BCM:

Schutz von Menschen, Daten und Infrastruktur. Aufrechterhaltung kritischer Geschäftsprozesse. Minimierung finanzieller und operationeller Schäden. Schnelle Wiederherstellung der normalen Betriebsabläufe.

BCM-Prozess: Schritt-für-Schritt Umsetzung:

1. Business Impact Analysis (BIA). Identifikation kritischer Geschäftsprozesse und Ressourcen. Analyse der möglichen Auswirkungen eines Ausfalls. Definition von Wiederanlaufzeiten (Recovery Time Objective, RTO).
2. Risikomanagement. Bewertung von Risiken und Schwachstellen. Ableitung präventiver Maßnahmen. Implementierung von Sicherheitsrichtlinien.
3. Entwicklung eines Notfallplans. Erstellung eines Business Continuity Plans (BCP). Festlegung von Kommunikationsstrategien. Definition von Verantwortlichkeiten und Abläufen.
4. Disaster Recovery Plan (DRP). Backup- und Wiederherstellungsstrategie für IT-Systeme. Alternativstandorte oder Cloud-basierte Lösungen. Testen der Notfallwiederherstellung.
5. Schulungen & Tests. Regelmäßige Übungen und Tests (z. B. Simulationen). Schulungen für Mitarbeiter zu Notfallprozessen. Anpassungen und Optimierungen basierend auf Erkenntnissen. Achtung! Es ist nicht damit getan, ab und an mal eine Quiz mit 3 Fragen auszugeben, oder alle paar Monate eine Test-Mail zu schicken, bei denen man jedes Mal mehr Schwachstellen feststellt.

BCM-Rollen und Verantwortlichkeiten:

Ein effektives BCM benötigt eine klare Struktur:

• BCM-Manager – Verantwortlich für BCM-Strategie und Umsetzung.
• Technisches Team – Zuständig für IT-Wiederherstellung und Infrastruktur.
• Kommunikationsteam – Krisenmanagement und interne Kommunikation.
• Mitarbeiter & Führungskräfte – Umsetzung von Notfallprozessen.

Hier gibt es gerne mal Probleme. In guten Fällen läuft dies und funktioniert. Wenn mal etwas nicht ganz korrekt besetzt ist und es im Verlauf schnell gelöst wird, ok. Leider hängt es gerne schon bei der Vollständigkeit des technischen Teams und es fehlt der Übergang zur Kommunikation. Der letzte Punkt wird blockiert, da im vorherigen Schritt Fehler bestehen. Das ist leider nichts ausgedachtes, sondern kam als Beispiel u.a. aus mehreren Praxisberichten.

Best Practices für BCM:

• Regelmäßige Tests und Simulationen durchführen.
• Flexible Wiederherstellungsoptionen (z. B. Cloud-Backup).
• Klare und verständliche Notfallkommunikation etablieren. Tipp: sagt euch "Jetzt ist der Ernstfall", d.h. kein Zugriff auf den Rechner - Telefon ist noch erlaubt. Gebt nun der zuständigen Stelle eine Info - asap. Wenn Ihr nicht weiter wisst, probiert das Problem zu lösen.
• Integration mit Cybersecurity-Strategien.
• Dokumentation und regelmäßige Überprüfung der Pläne. (In einem Unternehmen sind ggf. nicht alle Dokumentationen für jeden einsehbar. Zwischendurch mal nachfragen, ob es eine gibt, ist aber erlaubt und eine gute Idee.)

Fazit:

Ein gut strukturiertes Business Continuity Management (BCM) sorgt dafür, dass Unternehmen trotz Krisen handlungsfähig bleiben. Durch präventive Maßnahmen, klare Notfallprozesse und kontinuierliche Tests kann das Risiko von langen Betriebsunterbrechungen reduziert werden.

Die Praxisberichte aus Schulungen und anderen Terminen, haben genau aufgezeigt, dass Ausfälle ohne funktionierendes BCM meist in jahrelangen Ausfällen münden. Früher, ohne Cloud und mit z.B. wenigen Beschäftigten, konnte sowas auch ganze Unternehmen auslöschen. Denkt doch mal daran, was passiert, wenn die Administratoren die Back-ups löschen ...solche Fälle gabs es z.B. in ähnlichen Fällen, wenn die Programmierer die einzigen Floppy-Discs vernichtet haben. Man steht bei jedem Schritt blöd da, wenn es nicht mit dem Worst-Case-Szenario durchdacht wurde.

Sich in dem Bereich weiterzubilden ergibt durchaus Sinn. Als Team dafür verantwortlich zu sein, sieht auch ok aus. Komplett die Verantwortung für irgendwas in dem Bereich zu übernehmen, wäre eine Katastrophe. Auch Bibliothekspersonal sollte etwas Ahnung davon haben und Maßnahmen ergreifen.

Quelle: CCNA Zertifikat; IHK ISMS Schulung (kein Zertifikatslehrgang); Datenschutz-Schulung, Praktische Anwendung. Microsoft Co-Pilot KI