Ausgangslage
Obwohl Teile eines Informationssicherheitsmanagementsystems (ISMS) bereits existierten, sind die vorhandenen Verfahren und Regeln noch nicht ausreichend gewesen, um die Informationssicherheit nachhaltig zu steuern, vollumfänglich aufrechtzuerhalten und fortlaufend zu verbessern. Für ein angemessenes IT-Sicherheitsniveau wurde eine ganzheitliche Informationssicherheitsorganisation benötigt. Diese muss die Funktion einer zentralen Steuerungseinheit für IT-Sicherheitsangelegenheiten, eine Organisationseinheit für die IT-Sicherheit im IT-Systemhaus der Bundesagentur für Arbeit und die Sicherheitsverantwortlichen der regionalen IT-Services in den Dienststellen umfassen.
Das Projekt
Ziel des Projekts war der Aufbau bzw. Ausbau des Informationssicherheitsmanagement-Systems (ISMS). Es sollte den Anforderungen der ISO/IEC 27001 genügen und darüber hinaus auf Basis von BSI IT-Grundschutz zertifizierungsfähig sein. Weitere wichtige Ziele waren die bessere Integration und Verankerung des ISMS in die bestehenden Organisationsstrukturen und insbesondere die Sensibilisierung der Beschäftigten für das Thema Informationssicherheit. Für die Dokumentation der Sicherheitskonzeption und die Vorbereitung der angestrebten Zertifizierung sollte ein geeignetes Tool ausgewählt, getestet und letztlich in den produktiven Betrieb überführt werden.
Das Projekt im Überblick:
- Etablierung eines Managementsystems der Informationssicherheit (ISMS)
- Aktualisierung von Regelwerken, Richtlinien zur Informationssicherheit
- Erstellung/Aktualisierung von Sicherheitskonzeptionen
- Einführung eines ISMS-Tools
- Schulungen
- Auditvorbereitung
Die Vorteile
Informationsverarbeitung spielt eine Schlüsselrolle für die Aufgabenerfüllung der Bundesagentur für Arbeit (BA) Nürnberg. Sowohl Kunden als auch Mitarbeiter erwarten, dass ihre Daten nur für die vorgesehenen und gesetzlich geregelten Zwecke verwendet werden und vor Missbrauch und Verlust adäquat geschützt sind. Dabei sind die Leistungen der BA für Betroffene vielfach von existentieller Bedeutung. Der Schutz der Informationen nach den Grundwerten der Informationssicherheit hat daher eine äußerst hohe Priorität.
Mit der Etablierung des Informationssicherheitsmanagement-Systems konnte nun ein angemessenes Sicherheitsniveau erreicht werden. Die Zertifizierung nach ISO/IEC 27001 stellt dies auch nach außen unter Beweis.
Die laufende Verbesserung des Systems ist ebenfalls sichergestellt: GISA berät und unterstützt beim Betrieb des Systems.
Highlights
Die Vorbereitung des Audits erforderte zahlreiche interne Sicherheitsaudits und eine Informationssicherheitsrevision. Zahlreiche Referenzdokumente wurden erstellt und der Kunde durch die einzelnen Phasen des Zertifizierungsaudit begleitet—mit Erfolg!
