IT Security Management

<seo metakeywords="itil security management, information security management, prozess security management" metadescription="ITIL Security Management: Prozess-Definition, Teil-Prozesse. Zusatzinformationen zu Information Security Management: Rollen, Checklisten, KPIs..." />

ES - EN - Information Security Management

 

Überblick

Ziel: Information Security Management stellt sicher, dass alle Güter, Informationen, Daten und IT-Services eines Unternehmens jederzeit hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit geschützt sind. ITIL Security Management ist normalerweise in ein unternehmensweites Security Management eingebunden, das einen breiteren Wirkungsbereich als der IT-Service-Provider hat.

Deutsche Bezeichnung: Information Security Management

Teil von: Service Design

Prozess-Verantwortlicher: Information Security Manager

 

Prozess-Beschreibung

ITIL V3 ordnet Information Security Management im Service-Design-Prozess ein. Damit wird eine bessere Integration in den Service-Lifecycle erreicht wird, denn zuvor wurde Security Management noch in einer eigenen Publikation behandelt. Der Prozess wurde darüber hinaus an neue Erkenntnisse und Anforderungen im Bereich der IT-Sicherheit angepasst.

ITIL Security Management

ITIL liefert keine detaillierte Beschreibung aller Aspekte von Information Security Management, da für diesen Bereich eigene und detailliertere Standards verfügbar sind - wie z.B. ISO 27001. Stattdessen bietet ITIL einen Überblick über die wichtigsten Aktivitäten und hilft beim Bestimmen der Schnittstellen mit den anderen Service-Management-Prozessen.

Auf Grund der Einführung von Design-Koordinierung in ITIL 2011 haben sich die Datenflüsse leicht geändert. Das Übersichts-Diagramm zu Information Security Management (.JPG) illustriert die wichtigsten Schnittstellen des ITIL-Prozesses (siehe Abbildung 1).

 

Teil-Prozesse

ITIL Security Management umfasst die folgenden Teilprozesse:

 

Design von Sicherheitskontrollen

Prozessziel: Angemessene technische und organisatorische Maßnahmen designen, mit denen sichergestellt werden kann, dass alle Assets, Informationen, Daten und IT-Services eines Unternehmens jederzeit hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit geschützt sind.

Sicherheits-Test

Prozessziel: Dafür Sorge tragen, dass alle Sicherheits-Mechanismen regelmäßigen Tests unterzogen werden.

Bearbeitung von Security Incidents

Prozessziel: Aufdecken und Abwehren von Angriffen und Verletzungen der Informationssicherheit, sowie Minimierung des Schadens im Falle erfolgter Sicherheits-Verletzungen.

Security Review

Prozessziel: Überprüfen, ob die Sicherheitsmaßnahmen und –Prozeduren immer noch im Einklang stehen mit den Risikoeinschätzungen aus Unternehmenssicht; Überprüfen, ob die entsprechenden Maßnahmen und Prozeduren regelmäßig auf dem aktuellen Stand gehalten und getestet werden.

 

Definitionen

Die folgenden ITIL-Begriffe and Acronyme (Informations-Objekte) werden in ITIL Security Management zur Darstellung der Prozess-Outputs und -Inputs verwendet:

 

Informations-Sicherheitsbericht

Der Informations-Sicherheitsbericht wird in regelmäßigen Abständen erstellt. Er liefert anderen Service-Management-Prozessen sowie dem IT-Management Information über den Stand der Informationssicherheit.

Informations-Sicherheits-Richtlinie

Die übergeordnete Informations-Sicherheits-Richtlinie skizziert den gewählten Ansatz zur Gewährleistung der Sicherheit von IT-Services und -Systemen. Sie wird in der Regel ergänzt durch spezifische unterstützende Richtlinien, z.B. für den Umgang mit E-Mails oder den Fernzugriff auf bestimmte Systeme. Die Informations-Sicherheits-Richtlinie enthält eine Aufstellung der sicherheitsrelevanten Risiken sowie der bereits bestehenden oder geplanten Security Controls (Sicherheitskontrollen), mit denen solchen Risiken begegnet werden kann.

Regeln für Event-Filterung und -Korrelierung

Regeln und Kriterien, mit deren Hilfe die Bedeutung von Events eingeschätzt und eine angemessene Reaktion bestimmt werden kann. Regeln für Event-Filterung und -Korrelation werden typischerweise in Event-Monitoring-Systemen hinterlegt. Manche dieser Regeln werden während der Service-Design-Phase definiert, z.B. um sicherzustellen, dass Services die erforderliche Verfügbarkeit erreichen.

Security Advisories

Eine Liste bekannter Sicherheitslücken, die z.B. aus Inputs von externen Produktlieferanten erstellt wird. Die Liste enthält Anweisungen zum Schließen der Sicherheitslücken und für den Umgang mit bereits eingetretenen Sicherheitsverletzungen.

Security Alert (Sicherheitsalarm)

Ein Security Alert wird typischerweise vom Information Security Management herausgegeben, wenn Bedrohungen der Informationssicherheit absehbar oder bereits eingetreten sind. Sicherheitswarnungen werden mit dem Ziel veröffentlicht, Anwender und IT-Mitarbeiter in die Lage zu versetzen, Angriffe auf die Informationssicherheit zu erkennen und sich mit geeigneten Maßnahmen zu schützen.

Security Management Information System (SMIS)

Das Security Management Information System (SMIS) ist der zentrale Speicherort für alle relevanten Daten des Information-Security-Management-Prozesses.

Testplan für Verfügbarkeit/ Kontinuität/ Sicherheit

Ein Zeitplan für die regelmäßig durchzuführenden Tests der Verfügbarkeits-, Kontinuitäts- und Sicherheitsmechanismen, der gemeinsam vom Availability Management, IT Service Continuity Management und Information Security Management gepflegt wird.

Testprotokoll

Ein Protokoll über Vorbereitung, Ablauf und Evaluierung eines Tests, erstellt zum Beispiel im Rahmen der verschiedenen Tests, die vom Availability, IT Service Continuity oder Information Security Management durchgeführt werden.

Unterstützende Informations-Sicherheitsrichtlinie

Unterstützende Informations-Sicherheitsrichtlinien sind spezielle Richtlinien, die die übergeordnete Informationssicherheits-Richtlinie ergänzen. Sie stellen bindende Regeln für die Nutzung von Systemen und Daten sowie für die Nutzung und Erbringung von Services und Systemen zur Gewährleistung einer ausreichenden Informationssicherheit auf.

 

KPIs

• Kennzahlen zum Information Security Management

 

Rollen | Verantwortlichkeiten

Information Security Manager - Prozess-Verantwortlicher

Der Information Security Manager ist verantwortlich dafür, dass alle Güter, Informationen, Daten und IT-Services eines Unternehmens jederzeit hinsichtlich ihrer Vertraulichkeit, Integrität und Verfügbarkeit geschützt sind. Er ist normalerweise eingebunden in ein unternehmensweites Security Management, das einen breiteren Wirkungsbereich als der Service-Provider hat; dieses umfasst u.a. auch einen den Sicherheitsaspekten genügenden Umgang mit Schriftstücken und Telefonaten innerhalb des Gesamtunternehmens sowie die Zugangskontrolle zu Betriebseinrichtungen.

 

Verantwortlichkeits-Matrix: ITIL Security Management
ITIL-Rolle | Teil-Prozess	Information Security Manager	Service Owner[3]	Anwendungs-system-Analytiker[3]	Technischer Analytiker[3]	IT-Operator[3]	Facilities Manager[3]
Design von Sicherheitskontrollen	A[1]R[2]	R[3]	R[3]	R[3]
Sicherheits-Test	AR				R[3]	R[3]
Bearbeitung von Security Incidents	AR
Security Review	AR

 

Erläuterungen

[1] A: Accountable i.S.d. RACI-Modells: Verantwortlich dafür, dass Information Security Management als Gesamt-Prozess korrekt und vollständig ausgeführt wird.

[2] R: Responsible i.S.d. RACI-Modells: Verantwortlich für die Ausführung bestimmter Aufgaben in ITIL Security Management.

[3] siehe → Rollen-Beschreibungen