Das Sicherheitsverfahren prüft, ob ein Asset die Mindestanforderungen Ihrer Organisation erfüllt, bevor es in Betrieb geht. Der Eigentümer beantwortet die Anforderungen, die für die Kategorie des Assets gelten, und reicht sie zur Freigabe ein. Dieser Artikel richtet sich an Asset-Eigentümer, Freigabestellen und ISMS-Verantwortliche.

Wann das Sicherheitsverfahren gilt

  • Für Assets, deren Oberkategorie Sicherheitsverfahren erforderlich gesetzt hat. Vorbelegt ist das bei Informatikmitteln, Bauten, Lieferanten und beim Asset Ihrer Organisation, nicht bei Informationen & Prozessen.
  • Solange das Sicherheitsverfahren aktiv ist. Neue Organisationen starten aktiv. Die ISMS-Verantwortlichen können es abschalten, nachdem ein Dialog die Folgen erklärt hat.
  • Verarbeitet ein System Informationen, beginnt das Verfahren erst nach genehmigter Schutzbedarfsanalyse.
  • Ein Status wie „In Betrieb“ ist erst mit einer freigegebenen Version wählbar.

Bevor Sie beginnen (ISMS-Verantwortliche)

  1. Öffnen Sie ISMS-Einstellungen › Assets › Sicherheitsverfahren.
  2. Ordnen Sie unter Anforderungskatalog mindestens einen Katalog zu. Geeignet sind eigene Kataloge (in allen Paketen) oder Plattform-Kataloge wie NIST SP 800-53 oder IKT-Grundschutz (Schweiz) (ab Paket Pro). ISO/IEC 27001 Anhang A ist hier nicht möglich: Ihn setzen Sie über die Risikobehandlung und die Erklärung zur Anwendbarkeit um.
  3. Prüfen Sie die Umsetzungsstatus. Jeder Status hat eine Art: erfüllt, teilweise, nicht erfüllt oder nicht anwendbar.
  4. Legen Sie den Freigabeweg fest: welche Fachrollen in welcher Stufe freigeben, mindestens eine Stelle.
  5. Legen Sie unter Gültigkeit fest, wie viele Monate eine Freigabe gilt und wie viele Tage vorher der Eigentümer erinnert wird. Ohne Angabe gilt sie unbefristet.
  6. Legen Sie unter ISMS-Einstellungen › Assets › Asset-Struktur je Kategorie mit Anforderungen festlegen fest, welche Anforderungen gelten. Siehe Asset-Struktur anpassen.

Baseline nach Schutzbedarf

Bei Katalogen mit Baselines wie NIST SP 800-53 richtet sich die Auswahl zusätzlich nach dem Schutzbedarf des Assets: Massgebend ist der höchste Schutzbedarf des Assets bzw. seiner verarbeiteten Informationen: normal ergibt die Baseline Low, hoch ergibt Moderate, sehr hoch ergibt High. Verarbeitet das Asset Personendaten, gilt zusätzlich die Privacy-Baseline. Einzeln festgelegte Anforderungen gelten immer, unabhängig von der Baseline. Für das Asset Ihrer Organisation zählt der höchste Schutzbedarf Ihrer Organisation, und es gelten nur die organisationsweiten Anforderungen.

  1. EigentümerAnforderungen beantworten

    Umsetzungsstatus und Beschreibung je Anforderung, Nachweise als PDF.

  2. EigentümerAbweichungen behandeln

    Teilweise oder nicht erfüllt: Massnahme oder genehmigte Ausnahme.

  3. FreigabestellenFreigeben

    Nie, wer beantwortet, Nachweise hochgeladen oder eingereicht hat.

  4. Version gültig

    Danach kann das Asset „In Betrieb“ gehen.

Zurückgewiesen

Mit Begründung, optional mit Feedback je Anforderung; nach dem erneuten Einreichen prüft jede Stelle die Korrekturen.

Gültigkeit läuft ab

Der Eigentümer erhält die Pendenz „Sicherheitsverfahren läuft ab“ und startet mit „Überarbeitung starten“ eine neue Runde.

Das Sicherheitsverfahren bis zur gültigen Version

Der Eigentümer beantwortet die Anforderungen seiner Kategorie mit einem Umsetzungsstatus und hängt bei Bedarf Nachweise an. Teilweise oder nicht erfüllte Anforderungen behandelt er mit einer Massnahme oder einer genehmigten Ausnahme. Die Freigabestellen geben frei, nie wer beantwortet, Nachweise hochgeladen oder eingereicht hat. Die letzte Freigabe erzeugt eine Version, danach kann das Asset in Betrieb gehen. Bei einer Zurückweisung überarbeitet der Eigentümer die Antworten; vor Ablauf der Gültigkeit startet er eine Überarbeitung.

So gehen Sie vor (Eigentümer)

  1. Öffnen Sie die Pendenz Sicherheitsverfahren durchführen oder auf der Asset-Seite im Reiter Workflows die Karte Sicherheitsverfahren.
  2. Wählen Sie je Anforderung einen Umsetzungsstatus und beschreiben Sie, wie sie umgesetzt ist bzw. warum nicht. Hängen Sie bei Bedarf Nachweise als PDF an.
  3. Ist eine Anforderung nur teilweise oder nicht erfüllt, legen Sie die Behandlung fest: Wird behoben – Massnahme (bestehende verknüpfen oder neue anlegen) oder Bleibt so – Ausnahme beantragen.
  4. Klicken Sie auf Zur Freigabe einreichen. Jede Abweichung muss behandelt sein, und jede Ausnahme muss genehmigt und gültig sein.

Was danach passiert

  • Die Freigabestellen erhalten die Pendenz Sicherheitsverfahren freigeben. Antworten und Nachweise sind während der Freigabe gesperrt.
  • Wer Anforderungen beantwortet, Nachweise hochgeladen oder eingereicht hat, kann nicht freigeben (Vier-Augen-Prinzip).
  • Eine Stelle kann mit Zurückweisen und Begründung zurückgeben, optional mit Feedback je Anforderung. Nach dem erneuten Einreichen prüft jede Stelle die Korrekturen mit Korrekturen prüfen.
  • Die letzte Freigabe erzeugt eine Version mit Antworten, Unterschriften und Nachweisen. Danach kann das Asset „In Betrieb“ gehen.
  • Vor Ablauf der Gültigkeit erhält der Eigentümer die Pendenz Sicherheitsverfahren läuft ab und startet mit Überarbeitung starten eine neue Runde. Ändern sich die Anforderungen der Kategorie, folgt die Pendenz Sicherheitsverfahren an geänderte Anforderungen anpassen.

Wenn keine Anforderungen gelten

Zeigt die Seite des Sicherheitsverfahrens keine Anforderungen, nennt sie den Grund:

  • Dem Asset fehlt die Kategorie: Kategorie unter Bearbeiten zuweisen
  • Kein Katalog im Sicherheitsverfahren: Katalog in den Einstellungen des Sicherheitsverfahrens zuordnen
  • Für die Kategorie nichts festgelegt: Anforderungen festlegen bei der Kategorie
  • Anforderungen ausserhalb der zugeordneten Kataloge oder nicht mehr aktiv: Anforderungen der Kategorie prüfen
  • Keine Anforderung passt zum Schutzbedarf: Bei Bedarf einzelne Anforderungen festlegen, die unabhängig von der Baseline gelten

Bis das behoben ist, wartet das Verfahren. Der Eigentümer erhält keine Pendenz, und Einreichen ist gesperrt. Wer die Einstellung nicht ändern darf, sieht, dass die ISMS-Verantwortlichen dies festlegen.

Häufige Fragen

Was passiert mit offenen Abweichungen?

Eine Massnahme muss zum Einreichen nicht umgesetzt sein, aber festgelegt. Eine Ausnahme muss genehmigt sein. Mit einer Ausnahme trägt Ihre Organisation die Abweichung bewusst als Risiko; begründen Sie sie entsprechend. Siehe Massnahmen umsetzen und nachweisen.

Kann eine Freigabestelle das Asset sehen?

Ja. Freigabestellen sehen das Sicherheitsverfahren auch ohne Recht auf das Inventar.