DocSetMinder® und Kritische Infrastrukturen

Bei der Vielzahl der gesetzlichen Auflagen und Normanforderungen ist es empfehlenswert, einen organisationsweiten ganzheitlichen Planungs- und Dokumentationsansatz in Form eines Integrierten Managementsystems (IMS) zu etablieren. Wie eine effiziente und effektive Umsetzung der technischen und organisatorischen Maßnahmen funktioniert, kann aus der ISO-Welt abgeleitet werden. Anstatt jede Norm, jeden Standard oder gesetzliche Anforderung einzeln zu planen und womöglich mit unterschiedlichen Tools zu realisieren, ist eine globale Betrachtung von enormem Vorteil. Die Gemeinsamkeiten bei der Planung, Umsetzung und Aufrechterhaltung der Sicherheitsstandards sind vor allem in folgenden Bereichen deutlich: Projektmanagement, Strukturanalyse, Risikoanalyse, Überwachung und Audits. Um die Mindestanforderungen der Sicherheitsstandards und Datenschutzgesetze (EU, Bund und Länder) effizient und vollständig umzusetzen und aktuell zu halten, stehen den Kritischen Infrastrukturen diverse DocSetMinder^®-Module und Maßnahmenkataloge zur Verfügung. In Verbindung mit dem Microsoft^® SQL Server als zentrale Repository ist der DocSetMinder^® beliebig skalierbar und eignet sich für Unternehmen und Behörden jeder Größe. Durch den modularen Aufbau kann ein bereits umgesetzter Standard um zusätzliche Normen jederzeit zu einem Integrierten Managementsystem erweitert werden.

Die genaue Kenntnis der Unternehmens- und Behördenorganisation ist eine elementare Voraussetzung für die Durchführung der Strukturanalyse. Das Modul stellt Ihnen die notwendigen Strukturen und Vorlagen für die Dokumentation der Aufbau- und Ablauforganisation in gewünschter Tiefe zur Verfügung. Erfasst werden sämtliche Organisationseinheiten, wie z.B. Bereiche, Abteilungen, Gruppen sowie Geschäftsprozesse mit den Verantwortlichkeiten (Rollen) in der Organisation. Darüber hinaus werden in diesem Modul auch unternehmensrelevante Dokumente wie Verträge, Leitlinien, Richtlinien, Berichte, Eintragungen und Urkunden aufbewahrt oder erstellt. Die hier erfassten Informationen werden in allen Modulen verwendet. Somit werden Redundanzen verhindert und Aktualisierungen vereinfacht.

Ein weiterer Baustein der Strukturanalyse ist die Dokumentation des IT-Verbundes. Das Modul „IT-Dokumentation“ erlaubt eine systematische Dokumentation der IT-Infrastruktur der passiven und aktiven Netzwerkkomponenten, Server-Systeme, Arbeitsplätze, Peripheriegeräte, Dienste und Anwendungen sowie Gebäude, Gebäudesicherheit und Räume. Durch den Einsatz von DocSetMinder^®-Schnittstellen können wesentliche Informationen regelmäßig aus Microsoft^® Active Directory und Inventory-Systemen importiert werden. Die Dokumentation stellt die logischen Zusammenhänge zwischen Geschäftsprozessen, dafür verantwortlicher Software und Serversystemen sowie Speicherorten für die entstehenden Daten dar. Jede IT-Komponente kann dem fachlich und technisch zuständigen Mitarbeiter zugeordnet werden. Die hier erfassten Informationen werden in allen Modulen verwendet. Somit werden Redundanzen verhindert und Aktualisierungen vereinfacht.

Das DocSetMinder^®-Modul ist exklusiv für die Umsetzung des IT-Sicherheitskataloges gemäß § 11 Absatz 1a Energiewirtschaftsgesetz bei Energieversorgern konzipiert worden und dient der Erfassung von Leitsystemen, Übertragungstechnik, Kommunikationstechnik sowie Steuerungs- und Automatisierungstechnik. Die hier erfassten Informationen sind notwendig für die Umsetzung und Zertifizierung gemäß der DIN ISO/IEC TR 27019. 

Das DocSetMinder^®-Modul "IT-Grundschutz" bildet den BSI-Standard 200-2 vollständig ab. Die BSI-Methodik der Sicherheitskonzeption ist in die Modulstruktur detailliert integriert und unterstützt eine intuitive Bedienung, Umsetzung und Dokumentation des IT-Grundschutzes. Die Schutzbedarfsdefinition, Schutzbedarfsfeststellung und ihre Vererbung durch das Maximumprinzip sowie die Modellierung des IT-Verbundes ist durch die Softwareunterstützung einfach und schnell umsetzbar. Für die Überwachung der Umsetzung  der festgelegten Maßnahmen kann sehr effektiv der Aufgaben- und Maßnahmenplaner sowie Reporting Services verwendet werden. Allgeier CyRis bietet das DocSetMinder^®-Modul „IT-Grundschutz“ für unmittelbare Bundes-, Landes- und Kommunalverwaltungen der Bundesrepublik Deutschland kostenlos an. 

Die Norm ISO/IEC 27001 ist für die Planung, Umsetzung, Überwachung und stetige Verbesserung des Managementsystems für Informationssicherheit (ISMS) konzipiert. Das DocSetMinder^®-Modul bildet die Anforderungen der Norm ISO/IEC 27001 vollständig und detailliert ab. Die Modulstruktur (High Level Structure) erlaubt die Definition und Dokumentation des Anwendungsbereichs, der Verantwortlichkeiten, der ISMS-Leitlinie, eine Analyse und Bewertung der Risiken sowie die Definition der Maßnahmenziele und Maßnahmen zur Behebung der festgestellten Risiken. Für die Umsetzung des IT-Sicherheitskataloges steht den Energieversorgern die Erweiterung "ISO/IEC 27019" zur Verfügung.

Das DocSetMinder^®-Modul basiert auf dem BSI-Standard 100-4, ISO 22301 und bildet die Methodik zur Etablierung eines adäquaten Notfallmanagementsystems im Unternehmen oder einer Behörde ab. Es erlaubt eine vollständige Erstellung und Pflege von Dokumentationen des Anwendungsbereichs, der Notfallorganisation, der Business Impact Analyse, der Risikoanalyse sowie der Alarmierung und Eskalation bis hin zu Geschäftsfortführungs- und Wiederanlaufplänen (Notfallhandbücher). Die Planung und Durchführung von Notfallübungen und der Verbesserungsprozess der Notfallorganisation (PDCA) werden ebenfalls strukturiert unterstützt. 

Das DocSetMinder^®-Modul unterstützt den betrieblichen Datenschutzbeauftragten bei der Umsetzung, Kontrolle und Dokumentation der Datenschutzbestimmungen aus der EU-Datenschutz-Grundverordnung im Unternehmen und der Behörde. Das Modul bietet vorgefertigte, adaptierbare Strukturen und Dokumentvorlagen zur Umsetzung des Verarbeitungsverzeichnisses. Die strengen Anforderungen an die Dokumentation der Verarbeitungen, ihrer Zweckbestimmung, betroffenen Personengruppen, Datenkategorien und Fristen können revisionssicher abgebildet werden. Für die Dokumentation der technischen und organisatorischen Sicherheitsmaßnahmen steht eine detaillierte Vorlage zur Verfügung. 

Für die Durchführung der Risikoanalyse stehen den Anwendern zur Zeit zwei unterschiedliche Methoden zur Verfügung: BSI-Standard 200-3 und DIN ISO/IEC 27005. Die Norm DIN ISO/IEC 27005 ist aus der DIN ISO 31000 abgeleitet und unterstützt in einfacher Form die Berechnung der Risiken unter Berücksichtigung von Eintrittswahrscheinlichkeit und Auswirkung. Optional können weitere Faktoren, wie z.B. Häufigkeit (Exposition) oder Business Impact berücksichtigt werden.

Für die Umsetzung der Sicherheitsmaßnahmen gemäß BSI IT-Grundschutz, DIN ISO/IEC 27001 oder des IT-Sicherheitskataloges gemäß EnWG stehen dem Anwender wahlweise das IT-Grundschutz-Kompendium, der Katalog der Maßnahmenziele und Maßnahmen der Normen ISO/IEC 27001/2, ISO/IEC 27019 zur Verfügung. Die Kataloge können individuell erweitert werden. Die BSI- oder ISO-Updates/Ergänzungen der Bausteine und Maßnahmen werden laufend in die bestehende Dokumentation gespiegelt.