Vorbereitung

Eine 100-prozentige Sicherheit gibt es nicht. Ein Sicherheitsvorfall kann zu jedem Zeitpunkt dazu führen, dass beispielsweise Informationen nicht in erforderlichem Maße zur Verfügung stehen oder auch in falsche Hände geraten.

Zwei Beispiele: Der Webshop muss aufgrund eines Cyberangriffs vorübergehend abgeschaltet werden, oder; Eine Mail mit wichtigen Unterlagen wurde an einen falschen Absender geschickt.

Für Informationssicherheitsvorfälle schreibt die Norm daher einige Dinge vor, allem voran eine systematische Herangehensweise bei deren Meldung und Erfassung. Dafür sollte im Unternehmen ein Prozess verankert werden, der klare Vorgaben macht, wann ein Sicherheitsvorfall an welche Stelle zu melden ist. Entscheidend ist, dass alle Mitarbeiter ihre Verantwortung zur Meldung kennen, denn nur so kann umgehend reagiert werden.

Hier ergibt es keinen Sinn, das Rad neu zu erfinden. Wenn es bereits bestehende Meldeprozesse im Unternehmen gibt, z. B. einen zentralen Helpdesk in der IT, sollten diese Prozesse und Stellen bei der Etablierung des Prozesses berücksichtigt werden. Der Helpdesk kann dann z. B. gemeldete Sicherheitsvorfälle priorisieren und zielgerichtet bestimmte Stellen wie den Informationssicherheitsbeauftragen oder auch die Geschäftsführung mit hinzuziehen.

Mehr als alles andere gilt hier: Der Prozess und die Meldewege bringen nichts, wenn die Kollegen im entscheidenden Moment nicht darüber Bescheid wissen. Mitarbeiter sollten also regelmäßig geschult werden um an die Meldewege erinnert zu werden.