Einführung

Was ist Deming?

Deming ist ein Open-Source-Werkzeug, das CISOs dabei unterstützt, ihr Informationssicherheits-Managementsystem (ISMS) aufrechtzuerhalten. Mit dieser Anwendung können CISOs die Umsetzung von Sicherheitskontrollen und den kontinuierlichen Verbesserungsprozess einfach planen und verfolgen. Die Anwendung ist einfach zu bedienen und anzupassen und verfügt über eine intuitive Benutzeroberfläche.

Deming bietet Funktionen wie die Verwaltung der Sicherheitsmaßnahmen, die Planung der Kontrollen, die Erstellung von Kontrollblättern, die Erfassung von Nachweisen, die Verfolgung von Aktionsplänen sowie Dashboards und ISMS-Steuerungsberichte, damit CISOs die Aufrechterhaltung der Informationssicherheitsmaßnahmen überwachen können.

Die Anwendung ist mit der Norm ISO 27001:2022 kompatibel und folgt deren spezifischen Anforderungen an Planung, Umsetzung, Überprüfung und kontinuierliche Verbesserung des Informationssicherheits-Managementsystems. Sie unterstützt CISOs außerdem dabei, ihre Organisation auf ISO-27001-Zertifizierungsaudits vorzubereiten, indem sie detaillierte Berichte über die Sicherheitskontrollen und die Messung ihrer Wirksamkeit liefert.

Diese Anwendung wird unter der Lizenz GPL veröffentlicht. Sie darf frei verwendet, verändert und weitergegeben werden. Dieser Open-Source-Ansatz ermöglicht es den Benutzern, zur Weiterentwicklung der Anwendung beizutragen, indem sie Änderungswünsche, Fehlerberichte oder zusätzliche Funktionen einreichen.

Diese Anwendung zur Verwaltung der Informationssicherheit ist ein leistungsfähiges und anpassbares Werkzeug für CISOs, die ein ISO-27001-konformes Informationssicherheits-Managementsystem aufbauen und aufrechterhalten möchten.

Mit ihrer intuitiven Benutzeroberfläche, der Möglichkeit, neue Sicherheitsmaßnahmen zu definieren, und ihrer Kompatibilität mit ISO 27001:2022 bietet sie CISOs große Flexibilität, um die Anwendung an ihre spezifischen Bedürfnisse anzupassen.

Was ist Deming nicht?

Deming ist keine Wunderlösung, die die Risikoanalyse durchführt, alle existierenden Normen importiert, Ihre Dokumentation automatisch verwaltet, Standardverfahren bereitstellt oder selbstständig künstliche Intelligenz einsetzt...

Aber:

• sie läuft nicht in der Cloud;

• Sie brauchen keine fünftägige Schulung, um sie zu benutzen;

• Sie werden nicht von einer Beratungsfirma kontaktiert und

• sie ist kostenlos.

Warum kontrollieren?

Um die Sicherheit des Informationssystems zu steuern, muss eine Reihe von Sicherheitsmaßnahmen eingeführt und regelmäßig kontrolliert werden, ob diese Maßnahmen wirksam und effizient sind. Diese regelmäßigen Kontrollen stellen sicher, dass die eingeführten Sicherheitsmaßnahmen ihre Sicherheitsziele erreichen.

Die Anforderungen an die Messung der Wirksamkeit sind:

• a) die Wirksamkeit der Maßnahmen zu bewerten;
• b) die Wirksamkeit des Informationssicherheits-Managementsystems zu bewerten;
• c) zu überprüfen, inwieweit die ermittelten Sicherheitsanforderungen erfüllt wurden;
• d) die Verbesserung der Informationssicherheitsleistung im Hinblick auf die Ziele zu erleichtern;
• e) Daten für die Managementbewertung bereitzustellen, um Entscheidungen zum ISMS zu erleichtern;
• f) den Verbesserungsbedarf des ISMS zu begründen.

Leistungsbewertung

Die Norm ISO 27001 verlangt in Kapitel 9.1, die Informationssicherheitsleistung sowie die Wirksamkeit des Informationssicherheits-Managementsystems zu bewerten.

Um diese Leistung zu bewerten, ist Folgendes festzulegen:

• a) was überwacht und gemessen werden muss, einschließlich der Informationssicherheitsprozesse und -maßnahmen;
• b) die Methoden zur Überwachung, Messung, Analyse und Bewertung, soweit zutreffend, um gültige Ergebnisse sicherzustellen;
• c) wann die Überwachung und Messung durchzuführen ist;
• d) wer die Überwachung und Messung durchführen muss;
• e) wann die Ergebnisse der Überwachung und Messung zu analysieren und zu bewerten sind; und
• f) wer diese Ergebnisse analysieren und bewerten muss.

Deming ermöglicht es, diese Anforderungen zu erfüllen und die entsprechenden dokumentierten Informationen als Nachweis der Überwachungs- und Messergebnisse aufzubewahren.

Definitionen

Sicherheitsmaßnahmen (englisch „controls“): Gesamtheit der umzusetzenden Vorkehrungen. Es handelt sich um die Maßnahmen, die zur Umsetzung der Sicherheitsrichtlinie zu ergreifen sind.

Kontrolle oder Messung (englisch „measurement“): Prozess zur Gewinnung von Informationen über die Wirksamkeit eines ISMS und von Sicherheitsmaßnahmen mithilfe einer Bewertungsmethode, einer Bewertungsfunktion, eines Analysemodells und von Entscheidungskriterien [ISO/IEC 27004].

Indikator: Ergebnis der Anwendung eines Analysemodells auf eine oder mehrere Variablen in Bezug auf die Entscheidungskriterien oder einen Informationsbedarf [ISO/IEC 27004].

Attribut: Eigenschaft oder Merkmal eines Objekts, das durch menschliche oder automatische Mittel quantitativ oder qualitativ unterschieden werden kann [ISO/IEC 15939:2007].

Risiko: Auswirkung von Unsicherheit auf das Erreichen von Zielen. Im Kontext der Informationssicherheit wird es in der Regel in Form von Risikoquellen, möglichen Ereignissen, deren Folgen und deren Wahrscheinlichkeit ausgedrückt [ISO/IEC 27000].