Richtlinien & Konzepte

Richtlinien sind ein niedergeschriebener Konsens innerhalb eines Unternehmens zu einem Themenfeld. Man muss nicht nur die Meinungen innerhalb des Unternehmens zusammenführen, sondern auch alle externen Einflüsse identifizieren und einarbeiten. Externe Einflüsse können sich aus folgenden Bereichen ergeben:

• Gesetzliche Anforderungen (z.B. Telekommunikationsgesetz, Datenschutz)
• Anforderungen aus Zertifizierungs-Frameworks (z.B. BSI Grundschutz oder ISO 27001)
• Anforderungen aus Kundenverträgen

Sobald alle externen Einflüsse erarbeitet sind, kann die Firma zu einem Konsens geführt werden.

Je nach Themengebiet der Richtlinie kann die Konsensfindung einfach oder aufwendig sein. Zum Beispiel kann eine Konsensfindung für eine Richtlinie zur Kryptografie zügig vonstattengehen, da die Vorgaben des Bundesamtes für Sicherheit in der Informationstechnik hier sehr klar und eindeutig sind. [BSI TR-02102 kryptografische Verfahren: Empfehlungen und Schlüssellängen] Dagegen hat eine Reiserichtlinie größeren Konsensfindung-Bedarf (Wer darf z.B. Business Klasse fliegen?).

Sobald eine Richtlinie in Kraft gesetzt ist, muss regelmäßig überprüft werden, ob sie noch den aktuellen Anforderungen genügt.

Sicherheitsrichtlinien spielen im Informationssicherheitsprozess eine zentrale Rolle. Die Hoheit über diese speziellen Richtlinien hat typischerweise der Informationssicherheitsbeauftragte eines Unternehmens.

Es werden "Was"- und "Wer"-Fragen beantwortet und grundlegende Begriffe eingeführt.

• "Was": Aufgaben werden auf einem mittleren Konkretisierungsgrad operationalisiert und so eine systematische und konsistente Bearbeitung entlang der Schutzziele, Vorgaben, Ressourcen und Rahmenbedingungen unterstützt.
• "Wer": Verantwortliche, Bearbeiterinnen und Bearbeiter sowie andere Beteiligte werden transparent benannt.

Hier entsteht die Abgrenzung zu einem Konzept. Detaillierte Sicherheitsmaßnahmen, welche beschreiben, wie konkrete Teilaspekte der allgemeinen Richtlinie umzusetzen sind, sind in einem umfangreicheren Sicherheitskonzept enthalten.

Richtlinien entwickeln sich aus der Sicherheitsleitlinie des Unternehmens und werden in entsprechende Handlungsfelder aufgegliedert. Eine Richtlinie bestimmt somit die Rahmenbedingungen für das Handlungsfeld und macht diese für alle Beteiligten transparent. Die Handlungsfelder werden hier in ihrer Gesamtheit dargestellt, begründet und Zusammenhänge aufgezeigt. Richtlinien können in unterschiedlichen Phasen des Sicherheitsprozesses verortet sein und unterschiedliche Zielgruppen adressieren.

Leitlinien kann es zu verschiedene Themen im Unternehmen geben. Unter anderem wird in Unternehmen eine Leitlinie Informationssicherheit und eine Leitlinie Notfallmanagement gefordert.

Eine Leitlinie steht für den Bereich, den sie definiert, ganz oben auf der Dokumentpyramide.

Am Beispiel der Leitlinie Informationssicherheit lässt sich der Inhalt veranschaulichen.

Zitat: "Die Leitlinie zur Informationssicherheit ist ein wichtiges Grundsatzdokument der Leitung zu dem Stellenwert, den verbindlichen Prinzipien und dem anzustrebenden Niveau der Informationssicherheit in einer Institution. Für die betroffenen Mitarbeiter verständlich wird auf wenigen Seiten beschrieben, welche Sicherheitsziele angestrebt und in welchem organisatorischen Rahmen diese umgesetzt werden sollen. Die Entwicklung der Leitlinie muss von der Leitung der Institution angestoßen und aktiv begleitet werden."

Quelle: [https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/Zertifizierte-Informationssicherheit/IT-Grundschutzschulung/Online-Kurs-IT-Grundschutz/Lektion_2_Sicherheitsmanagement/Lektion_2_07/Lektion_2_07_node.html]