Development of an implementation concept for ISO/IEC 27001: Implementation guide for public institutions in Austria

Durch stetig zunehmende Cyberrisiken und regulatorischen Vorgaben, denen Unternehmen und Institutionen gleichermaßen gegenüberstehen, steigen die Anforderungen an die Informationssicherheit. Zusätzlich steigt ebenfalls die Abhängigkeit der Unternehmen von den IT-Systemen. Diese Masterarbeit entwickelt ein praxisorientiertes Implementierungskonzept zur Einführung eines Informationssicherheitsmanagementsystems (ISMS), welches mit der ISO/IEC 27001 kompatibel ist. Exemplarisch wird die Land- und Forstwirtschaftskammer (LWK) Steiermark verwendet. Ziel ist es, ein Vorgehen zu ermöglichen, damit auch bei begrenzten Ressourcen eine schrittweise Umsetzung der Normanforderungen durchgeführt werden kann und das Vorgehensmodell gleichzeitig auf vergleichbare Institutionen übertragbar bleibt.Um die gestellten Forschungsfragen zu beantworten, wird eine normbasierte Gap-Analyse in verschiedenen Bereichen durchgeführt. Hierfür werden strukturierte Tabellen entwickelt, welche die Anforderungen der ISO/IEC 27001 abbilden. Diese ermöglichen eine einheitliche, nachvollziehbare Bewertung des Umsetzungsgrades der Norm. Die Ergebnisse der tabellarischen Analyse zeigen, dass einige technische Sicherheitsmaßnahmen bereits vorhanden sind, es jedoch in anderen Bereichen Defizite gibt. Dazu zählen formale Richtlinien, unklar definierte Rollen und Verantwortlichkeiten sowie unzureichende Dokumentation von Prozessen.Auf der Grundlage der identifizierten Abweichungen von der Norm, wird ein risikoorientiertes Implementierungskonzept ausgearbeitet. Dieses umfasst ein sechsstufiges Vorgehensmodell zur Einführung eines ISMS, einen standardisierten Risikobewertungsprozess sowie einen modularen Implementierungsbaukasten und unterstützende Werkzeuge. Anschließend werden Key Performance Indicators (KPIs, Kennzahlen) definiert, mit welchen der Fortschritt der Umsetzung der Vorgaben als auch der Informationssicherheitsreifegrad messbar gemacht werden kann.Eine exemplarische Anwendung des Konzepts in der LWK zeigt, dass eine ISO/IEC 27001-konforme Einführung eines ISMS auch unter begrenzten Ressourcen realisierbar ist, sofern die bestehenden Strukturen genutzt und schrittweise weiterentwickelt werden. Speziell organisatorische Grundmaßnahmen wie die Festlegung von Verantwortlichkeiten, die Einführung von Sicherheitsrichtlinien und die Schulung von Mitarbeitenden führen bereits zu einer deutlichen Verbesserung des Reifegrades der Informationssicherheit. Um die Anforderung der Übertragbarkeit des Konzepts auf andere Institutionen zu überprüfen, wird dies in dieser Arbeit beispielhaft durchgeführt, dokumentiert und abschließend bewertet.