Informationssicherheit

Überblick

Sicherheit ist heute eine Führungsaufgabe

Informationssicherheit ist zu einer rechtlichen Frage geworden und nicht nur zu einer technischen. Regulierung benennt die Verantwortung der Führung direkt, Kunden verlangen Nachweise, bevor sie unterschreiben, und die Antwort auf beides muss ein System sein, das wirkt, und keine Massnahmenliste, die sich gut liest.

Ein Informationssicherheitsmanagementsystem (ISMS) verlangt etwas Engeres und Schwereres als eine Massnahmenliste: Risiken, die von Menschen verantwortet werden, die handeln können, Steuerungsmassnahmen, die wegen dieser Risiken gewählt wurden, und den Nachweis, dass die Wahl noch trägt. Massnahmenkataloge lassen sich leicht abbilden und leicht unbesehen lassen, und so kommt es, dass ein Sicherheitsprogramm auf dem Papier vollständig und in der Praxis ungeprüft ist.

Lehrgänge

Die Lehrgänge von Halderstone sind modular aufgebaut. Sie legen zuerst ein belastbares, rollenspezifisches Fundament über die Fachbereiche hinweg, das dann auf den gewählten Fachbereich angewendet wird.

Informationssicherheit · ISO/IEC 27001ISO/IEC 27001 AuditorInformationssicherheit über Checklisten hinaus auditieren◎Diploma in Management System Auditing◎Halderstone Certified ISO/IEC 27001 Auditor20 Module · Abschlussprojekt · PrüfungZum Lehrgang →

Informationssicherheit · ISO/IEC 27001ISMS ManagerInformationssicherheit als festen Bestandteil des Managements verankern◎Diploma in Management System Management◎Halderstone Certified Information Security Manager23 Module · Abschlussprojekt · PrüfungZum Lehrgang →

Trainingsmodule

Jedes Modul lässt sich einzeln belegen und trainiert die Entscheidungen, die eine Fachperson ohne Aufforderung treffen muss. Dies sind die Module, die diesen Fachbereich unterrichten; der fachbereichsübergreifende Kern, den jeder Lehrgang teilt, steht im Katalog.

HAM-IS-S-03 · InformationssicherheitBetriebliche Steuerung der InformationssicherheitInformationssicherheitsmassnahmen in den täglichen Abläufen gemäss ISO/IEC 27001 konsistent planen, umsetzen und betreibenDetails ansehen →

HAM-IS-S-02 · InformationssicherheitInformationssicherheits-RisikomanagementInformationssicherheitsrisiken sichtbar machen, Verantwortung klären und belastbare ISMS-Entscheidungen ermöglichenDetails ansehen →

HAM-IS-A-01 · InformationssicherheitInformationssicherheits-Risikomanagement auditierenEntscheidungen zur Risikobehandlung und Nachvollziehbarkeit zu Steuerungsmassnahmen und SoA beurteilenDetails ansehen →

HAM-IS-A-02 · InformationssicherheitInformationssicherheitsmassnahmen auditierenAnwendbarkeit, Umsetzungsnachweise und typische Schwachstellen über die Annex-A-Massnahmenthemen von ISO/IEC 27001 hinweg beurteilenDetails ansehen →

HAM-IS-DF-01 · InformationssicherheitInformationssicherheitsmassnahmen verstehenPraktische Massnahmenkompetenz über Zugriff, Kryptografie, Logging, Reaktion und Wiederherstellung aufbauenDetails ansehen →

HAM-IS-S-01 · InformationssicherheitISMS: Geltungsbereich & SoAISMS-Geltungsbereich und Grenzen klar definieren und eine belastbare Erklärung zur Anwendbarkeit (SoA) pflegenDetails ansehen →

Beratung

Wir helfen Organisationen, die Informationssicherheit durch klare Governance, risikobasierte Priorisierung und praktikable Verankerung von Steuerungsmassnahmen zu stärken. Dazu gehören Aufbau und Verbesserung von ISMS-Strukturen, die Verankerung der Sicherheit in operativen Prozessen, die Klärung von Verantwortung und Nachweisen und ein Vorgehen, das Assurance, Auditbereitschaft und tragfähige Entscheidungen unterstützt.

Die vier Phasen unten sind das Leben eines Managementsystems, und ein Mandat kann bei jeder von ihnen beginnen.

1. 01

   Gestalten

   Klare Sicherheits-Governance und Steuerungsstrukturen schaffen

   –Rahmenwerk und Politik für die Informationssicherheits-Governance

   –Festlegung von Rollen, Verantwortlichkeiten und Entscheidungsrechten

   –Methodik der Risikobeurteilung und Vorgehen der Risikobehandlung

   –Sicherheitsarchitektur und Gestaltung der Steuerungsmassnahmen

   –Integration in bestehende Managementsysteme (z. B. QMS, Datenschutz, KI-Governance)

   –Gestaltung von Dokumentations- und Nachweisstrukturen

2. 02

   Betreiben

   Informationssicherheit im Alltag wirksam machen

   –Risikobeurteilungen zur Informationssicherheit und deren laufende Aktualisierung

   –Umsetzung von Steuerungsmassnahmen und Verfahren

   –Sicherheitsanforderungen und Onboarding bei Lieferanten und Dritten

   –Prozesse für Vorfälle und Schwachstellen

   –Sensibilisierung und Befähigung der Rollen

   –Operative Unterstützung der ISMS-Prozesse

3. 03

   Absichern

   Sicherheit geben und Auditbereitschaft herstellen

   –Unabhängige Überprüfungen der Informationssicherheits-Governance

   –Prüfung von Wirksamkeit und Umsetzung der Steuerungsmassnahmen

   –Interne Audits (ISO/IEC 27001 oder integrierte Systeme)

   –Sicherheitsüberprüfungen bei Lieferanten und Dritten

   –Beurteilung der Auditbereitschaft und Unterstützung bei der Vorbereitung

4. 04

   Weiterentwickeln

   Sicherheit wirksam halten, während Risiken und Umfeld sich ändern

   –Laufende Risikoüberwachung und Neubeurteilung

   –Reifegradbeurteilungen und Verbesserungsfahrpläne

   –Integration neuer regulatorischer oder vertraglicher Anforderungen

   –Szenarioanalyse für aufkommende Bedrohungen

   –Sparring mit der obersten Leitung zu strategischen Sicherheitsentscheidungen

Audit

Ein ISMS-Audit prüft Wirksamkeit statt Abdeckung: ob die benannten Risiken die tatsächlich getragenen sind, ob die dagegen gewählten Steuerungsmassnahmen die Gefährdung senken, und ob die Überprüfungen bemerken würden, wenn sie aufhörten zu wirken.