Allgemeine Erläuterung:

Die Leitlinie zur Informationssicherheit beschreibt allgemein verständlich, für welche Zwecke, mit welchen Mitteln und mit welchen Strukturen Informationssicherheit innerhalb der Institution hergestellt werden soll.

Allgemeine Erläuterung:

In einem IT-Sicherheitskonzept wird beschrieben, mit welchen Maßnahmen die in der Leitlinie zur Informationssicherheit vorgegebenen Ziele und Strategien verfolgt werden sollen.

Allgemeine Erläuterung:

Ein Managementsystem umfasst alle Regelungen, die für die Steuerung und Lenkung einer Institution sorgen und letztlich zur Zielerreichung führen sollen. Der Teil des Managementsystems, der sich mit der Informationssicherheit beschäftigt, wird als Informationssicherheitsmanagementsystem (ISMS) bezeichnet.

Das ISMS legt fest, mit welchen Instrumenten und Methoden die Leitungsebene die auf Informationssicherheit ausgerichteten Aufgaben und Aktivitäten nachvollziehbar lenkt (plant, ein­setzt, durchführt, überwacht und verbessert).

Wenn Sie die Frage 2 mit "Ja" beantwortet haben:

Allgemeine Erläuterung:

Zur Planung und Durchsetzung eines Sicherheitsprozesses gehören die Festlegung von Organisationsstrukturen (z.B. Abteilungen, Gruppen, Kompetenzzentren) und die Definition von Rollen und Aufgaben. In Bezug auf die Aufbauorganisation des Informationssicherheitsmanagements bieten sich verschiedene Möglichkeiten an. Dabei richtet sich die personelle Ausgestaltung nach der Größe der jeweiligen Institution, den vorhandenen Ressourcen und dem angestrebten Sicherheitsniveau.

Frage: Wie groß ist Ihre Sicherheitsorganisation und wie ist die organisatorische Ansiedlung des Beauftragten für Informationssicherheit (BfIS) geregelt?

Allgemeine Erläuterung:

Es ist nur dann möglich, Informationssicherheit innerhalb einer Institution erfolgreich und effizient zu verwirklichen, wenn alle Mitarbeiter erkennen und akzeptieren, dass sie ein bedeutender und notwendiger Faktor für den Erfolg der Institution ist und wenn sie bereit sind, Sicherheitsmaßnahmen wirkungsvoll zu unterstützen.

Um den Mitarbeitern das nötige Wissen zu vermitteln, sind gleichermaßen Sensibilisierungs- und Schulungsmaßnahmen erforderlich.

Ergänzung:

Allgemeine Erläuterung:

Neben technischen Sicherheitsmaßnahmen müssen auch organisatorische Abläufe und Prozesse (wie Benutzerrichtlinien, Rechtevergaben, Sicherheitsschulungen, Test- und Freigabeverfahren) eingerich­tet werden.

Ergänzung:

Quellen der allgemeinen Erläuterungen zu den einzelnen Fragen dieser Umfrage sind die Standards des Bundesamt für Sicherheit in der Informationstechnik (Link: www.bsi.bund.de)