Controlware Communications Systems

• Anforderung
• Lösungsansatz
• Kundennutzen

So gut wie alle Unternehmen sind heute von modernen Informations- und Kommunikationstechniken abhängig; denn die meisten Geschäftsprozesse – vom Einkauf über die Produktion bis zum Verkauf sowie die Verwaltung - laufen auf Basis der IT ab. Umso wichtiger ist es, die IT-Risiken möglichst gering zu halten. Die Zielrichtung dafür geben die Taktiken der „Information Security Guidelines“ vor, während IT-Sicherheitskonzepte ganz konkret die Umsetzung der Anforderungen auf der operativen Ebene des Informationssicherheitsmanagements definieren.
Der tatsächliche Schutzbedarf eines IT-Verbundes – eines funktionalen Teils der gesamten Informationsverarbeitung im Unternehmen – ergibt sich jeweils aus den dort ablaufenden Geschäftsprozessen und deren spezifischen Anforderungen an die Sicherheit (Erfüllung fachlicher Anforderungen, Einhaltung von Gesetzen, Erfüllung von Verträgen); dieser Soll-Zustand wird im Sicherheitskonzept festgeschrieben.

Als führender und allgemein anerkannter Standard bei der Erstellung von IT-Sicherheitskonzepten gilt die Norm ISO 27001:2005. Sie kann sowohl in ihrer international gültigen generischen Form als auch in der nationalen Ausprägung, dem IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI), als Grundlage für die Entwicklung von Sicherheitskonzepten dienen.
Zertifikate bescheinigen dabei die Umsetzung der Vorgaben des BSI. Hierfür untersucht ein lizenzierter Auditor das Sicherheitskonzept eines IT-Verbundes gemäß des BSI-Zertifizierungsschemas und schätzt in seinem Auditreport auch die Eignung zur Zertifizierung ein. Die letzte Entscheidung über ein  „ISO 27001 - Zertifikat auf Basis IT-Grundschutz“ für den jeweils betrachteten Verbund liegt beim BSI, das erteilte Zertifikate auch auf seinem Web-Server veröffentlicht.
Das Zertifizierungsverfahren selbst wird kann schrittweise – über die „Auditor-Testat Einstiegsstufe“ und die „Auditor-Testat Aufbaustufe“ bis zum “ISO 27001 - Zertifikat auf Basis IT-Grundschutz“ - abgewickelterfolgen, wobei für jeden der drei Abschnitte ein vorgegebenes Maßnahmen-Paket des IT-Grundschutzkatalogs erfüllt werden muss.