ISO 27001 & BS 25999

Haben sie jemals versucht, Ihr Management davon zu überzeugen, Informationssicherheit auf grundlegende Weise umzusetzen? Wenn ja, dann wissen Sie wahrscheinlich, wie es sich anfühlt – sie werden Sie fragen, wie viel es kostet, und wenn es zu teuer klingt, werden sie Nein sagen.

Eigentlich sollte man ihnen das nicht verdenken – schließlich ist die Rentabilität des Unternehmens ihre ultimative Verantwortung. Das bedeutet, dass jede ihrer Entscheidungen auf dem Gleichgewicht zwischen Investition und Nutzen basiert, oder um es in der Sprache des Managements auszudrücken: ROI (Return on Investment).

Das heißt, Sie müssen zuerst Ihre Hausaufgaben machen, bevor Sie versuchen, eine solche Investition vorzuschlagen. Denken Sie sorgfältig darüber nach, wie Sie Vorteile präsentieren und eine Sprache einsetzen, die vom Management verstanden wird und Zustimmung findet.

Ich werde versuchen, Ihnen zu helfen – es gibt zahlreiche Vorteile der Informationssicherheit und insbesondere der Umsetzung der ISO 27001. Aber meiner Erfahrung nach sind die folgenden vier Punkte am wichtigsten:

1. Einhaltung

Es mag seltsam klingen, dies als wichtigsten Vorteil aufzuführen, aber die Einhaltung (Compliance) zeigt oft die schnellste Rendite. Wenn ein Unternehmen verschiedene Vorschriften bezüglich Datenschutz, Privatsphäre und EDV einhalten muss (insbesondere bei Finanz-, Gesundheits- oder Regierungsorganisationen), dann kann ISO 27001 die Methodik einbringen, um dies am effizientesten durchzuführen.

2. Marketing

Auf einem immer stärker durch Wettbewerb gekennzeichneten Markt ist es manchmal sehr schwierig, etwas zu finden, was Sie aus Sicht Ihrer Kunden abhebt. ISO 27001 könnte in der Tat ein Alleinstellungsmerkmal sein, vor allem wenn Sie sensible Daten der Kunden verarbeiten.

3. Senkung der Kosten

Informationssicherheit wird üblicherweise als Unkosten betrachtet, ohne offensichtlichen finanziellen Gewinn. Allerdings gibt es einen finanziellen Vorteil, wenn Sie Ihre durch Vorfälle verursachten Kosten senken. Sie haben es wahrscheinlich mit einer Betriebsunterbrechung oder gelegentlichen Datenlecks oder unzufriedenen Mitarbeitern zu tun. Oder verärgerte ehemalige Angestellte.

Die Wahrheit ist, dass es noch keine Methode und/oder Technologie gibt, um die Summe zu berechnen, die Sie durch ein Verhindern dieser Vorfälle einsparen würden. Aber es klingt immer gut, wenn Sie dem Management diese Fälle präsentieren.

4. Bringen Sie Ihr Geschäft in Ordnung

Dieser Punkt ist wahrscheinlich am stärksten unterschätzt – falls Sie ein Unternehmen sind, dass den letzten Jahren stark gewachsen ist, könnten Sie vor Problemen stehen wie zum Beispiel ‚wer entscheidet was‘, ‚wer ist für bestimmte Informationen verantwortlich‘, ‚wer genehmigt den Zugang zu Informationssystemen‘ usw.

ISO 27001 ist besonders gut für die Bewältigung dieser Probleme geeignet – diese Norm wird Sie zwingen, Verantwortlichkeiten und Pflichten sehr genau zu umreißen und damit Ihre interne Organisation stärken.

Abschließend gesagt könnte ISO 27001 Ihnen viele Vorteile einbringen – sie ist mehr als nur ein weiteres Zertifikat an der Wand. Wenn Sie diese Vorteile klar darstellen, so wird das Management in den meisten Fällen anfangen, Ihnen zuzuhören.

Sie können sich auch unser Webinar ISO 27001 / BS 25999-2 management responsibilities: What does management need to know? ansehen (kommerzielles Training).

This post is also available in: Englisch, Japanisch, Spanisch, Kroatisch, Portugiesisch, Brasilien