Überwachung und Verbesserung

Die Prozessschritte 4 (Überwachung) und 5 (kontinuierliche Verbesserung) schließen den PDCA-Zyklus. Die zugehörigen Anforderungen finden Sie in den Praktiken Monitoring-Evaluation (PERF) und Verbesserung (VRB). Sie sind Teil der verbundweiten Anforderungen und werden wie alle Anforderungen über Umsetzung anzeigen am Informationsverbund bearbeitet.

Überwachung

Die Überwachung stellt regelmäßig und anlassbezogen sicher, dass die umgesetzten Anforderungen wirksam sind und die Sicherheitsziele erreicht werden.

Leistungsbewertung des ISMS

Bewerten Sie die Wirksamkeit des ISMS und den Fortschritt der Umsetzung, z.B. anhand:

• der Veränderungen in der Gefährdungslage
• des Umsetzungsplans – Fortschritt, Einhaltung der Termine und inhaltliche Korrektheit
• der Behandlung von Auditergebnissen und Verbesserungsmaßnahmen
• der Nachbereitung von Sicherheitsvorfällen

Grundlage in verinice sind die dokumentierten Umsetzungsstatus, die Fristen im Feld Umsetzung bis und die erfassten Informationssicherheitsvorfälle. Da einheitliche Vorgaben zur Leistungsbewertung im Grundschutz++ noch ausstehen, sind Sie in der Ausgestaltung frei. Legen Sie die Leistungsbewertung nachvollziehbar der Institutionsleitung vor.

Internes Auditprogramm

Etablieren Sie ein risikoorientiertes Auditprogramm mit dokumentierten Auditplänen (Ziele, Umfang, Kriterien, Standorte, Methoden, Rollen und Zuständigkeiten). Die Effektivität und Effizienz aller angewandten Praktiken sollte mindestens einmal geprüft werden. Auditoren sollten fachlich geeignet und von den auditierten Bereichen unabhängig sein.

Dokumentieren Sie Auditergebnisse in strukturierten Berichten mit einem einheitlichen Bewertungsschema – mit Schwachstellen und positiven Feststellungen. Auditberichte können Sie als Dokumente hinterlegen; Prüfungen einzelner Anforderungen dokumentieren Sie im Abschnitt Revision des Umsetzungsdialogs.

Managementbewertung

Die Institutionsleitung prüft regelmäßig, ob das ISMS geeignet, angemessen und wirksam ist. Grundlage ist der Managementbericht mit u.a.:

• Ergebnissen von Audits und der Leistungsbewertung
• Sicherheitsvorfällen
• Status der Risikobehandlung
• Änderungen in der Institution oder in der Bedrohungslage
• Status früherer Managemententscheidungen

Hinterlegen Sie den Managementbericht und die Entscheidungen der Institutionsleitung als Dokument.

Monitoring-Methoden und -tools

Verankern Sie Verfahren zur Erkennung von Sicherheitsvorfällen, zum Umgang mit Schwachstellen und zur Reaktion auf neue Bedrohungen – jeweils mit Berücksichtigung in der Risikobetrachtung. Die technischen Anforderungen dazu finden Sie insbesondere im Führungsprozess Detektion ([Prozess:DET]). Erkannte Vorfälle dokumentieren Sie als Informationssicherheitsvorfälle und verknüpfen sie mit den betroffenen Geschäftsprozessen, Assets und Anforderungen.

Validierung der Anforderungen

Überprüfen Sie das Anforderungspaket regelmäßig – in der Regel jährlich – auf Aktualität und Angemessenheit. Berücksichtigen Sie dabei:

• geänderte Geschäftsprozesse, neue Assets und organisatorische Änderungen
• neue regulatorische Anforderungen und veränderte Bedrohungslagen
• neue Versionen des Grundschutz++-Katalogs und Änderungen der Zielobjekthierarchie

Stimmen Sie die Überprüfung mit den zuständigen Bereichen ab. Ergeben sich wesentliche Änderungen, passen Sie die Modellierung an und erweitern das Anforderungspaket. Nutzen Sie die Felder Nächste Revision am und Nächste Revision durch, um die Überprüfung zu planen.

Kontinuierliche Verbesserung

In der kontinuierlichen Verbesserung werden die Erkenntnisse aus der Überwachung in konkrete Verbesserungen umgesetzt. Schwachstellen und geänderte Bedrohungslagen fließen in die Risikobetrachtung ein und lösen einen neuen Zyklus aus.

Umgang mit Nicht-Konformitäten

Werden Anforderungen nicht im vorgesehenen Maß erfüllt, liegt eine Nicht-Konformität vor. Für jede Nicht-Konformität:

• systematisch erfassen und dokumentieren – unabhängig davon, ob sie aus Audits, Prüfungen, Vorfällen oder dem Betrieb stammt
• Ursachen analysieren (Root-Cause-Analysis)
• Wahrscheinlichkeit und Auswirkungen eines Wiederauftretens bewerten
• prüfen, ob ähnliche Nicht-Konformitäten in anderen Bereichen bestehen
• prüfen, ob sie auf systemische Schwächen des ISMS hinweist
• Korrekturvorschläge ableiten

In verinice setzen Sie den Umsetzungsstatus der betroffenen Anforderung auf nein und dokumentieren die Feststellung in der Umsetzungsbeschreibung.

Verbesserungspotenziale

Identifizieren Sie Verbesserungspotenziale auch ohne vorangegangene Probleme, z.B. aus der Bewertung der Bedrohungslage, der Auswertung des Umsetzungsplans, Auditergebnissen, Sicherheitsvorfällen und Vorschlägen der Mitarbeitenden. Bewerten Sie jedes Potenzial nach Risikoreduktion, Ressourcenaufwand, strategischer Bedeutung, Synergien und Nachhaltigkeit.

Korrektur- und Verbesserungsplan

Betten Sie die Korrektur- und Verbesserungsvorschläge in einen Korrektur- und Verbesserungsplan ein und priorisieren Sie nach verfügbaren Ressourcen, Quick Wins und größtem Verbesserungspotenzial. Der Plan wird in den Umsetzungsplan aufgenommen – in verinice also als Maßnahmen mit Verantwortlicher Person und Frist an den betroffenen Anforderungen.

Evaluation

Prüfen Sie die umgesetzten Maßnahmen auf ihre Wirksamkeit:

• klare, messbare Wirksamkeitskriterien je Maßnahme festlegen
• nach Abschluss gezielt testen, auditieren oder überprüfen
• bewerten, ob die Nicht-Konformität beseitigt bzw. die Verbesserung erreicht wurde
• Ergebnisse dokumentieren, z.B. im Abschnitt Revision des Umsetzungsdialogs

Behandlung von Compliance-Verstößen

Verankern Sie ein Verfahren zur Behandlung von Compliance-Verstößen mit Definition und Kategorisierung von Verstößen, Melde- und Eskalationswegen, Untersuchung und Dokumentation, verhältnismäßigen Reaktionen und Nachverfolgung. Analysieren Sie die Ursachen und leiten Sie präventive Maßnahmen ab. Ziehen Sie bei schwerwiegenden Verstößen rechtliche Expertise hinzu.

Mit den Ergebnissen der Verbesserung beginnt der nächste Durchlauf des PDCA-Zyklus – ggf. mit weiteren Geschäftsprozessen und Assets.