Automatisierung von Compliance in Unternehmen
Automatisierte Einhaltung der ISO 27002-Compliance: Direkt auf Verletzungen von Sicherheits- und Compliance-Richtlinien reagieren können
Log- und IT-Datenmanagement dienen dazu, präzise zu wissen und zu verstehen, was im IT-Netz vorgeht
(19.08.11) - LogLogic setzt kontinuierlich auf Lösungen zur Vereinfachung und Automatisierung von Compliance in Unternehmen. ISO Standards haben dabei einen zentralen Stellenwert, insbesondere die ISO-Familie 2700x für die Informationssicherheit in Unternehmen. Dafür bietet LogLogic eine abgestimmte Compliance-Suite, die Korrelationen und Compliance-Workflows für ISO 27002 in hohem Maße automatisiert und keine Skalierungsgrenzen aufweist.
Wer Informationssicherheit konsequent einhalten und dies auch nachweisen kann, wird zum bevorzugten Partner, Zulieferer oder Dienstleister. "Dabei geht es nicht nur um den Schutz vor Wirtschaftsspionage oder Datendiebstahl", sagt Martin Ulmer, Territory Account Manager bei LogLogic Deutschland. "Geschäftspartner erster Wahl garantieren die Hochverfügbarkeit ihrer unternehmenskritischen Systeme wie auch ihre Fähigkeit, gesetzliche Regulierungs- und Compliance-Vorschriften einzuhalten. Zu Recht wird daher ISO 27002 als ganzheitliche Managementaufgabe verstanden, die über die reine technische IT-Sicherheit hinausgeht."
Der Oberbegriff ISO 27000 steht für die Reihe an IT-Sicherheitsnormen der ISO 2700x-Familie. Dabei legt die ISO 27002 fest, wie IT-Sicherheit in der Praxis realisiert wird, inklusive Ziele und Vorschläge zur Umsetzung sowie Kontrollmechanismen. Insgesamt werden elf Überwachungsbereiche erfasst, die sich in 39 Hauptkategorien untergliedern. Diese wiederum sind mit insgesamt 133 Sicherheitsmaßnahmen (Controls) ausgelegt, deren Anwendung die Erreichung der Kontrollziele unterstützt.
Nicht erst mit ISO 27001 gehen technische und politische Veränderungen in Unternehmen Hand in Hand: Laut der aktuellen "Sans Studie 2011" sammeln 89 Prozent der Unternehmen IT- und Log-Daten in der einen oder anderen Form, um die Sicherheit zu erhöhen, die Forensik zu verbessern oder die Einhaltung von Compliance-Richtlinien zu unterstützen.
Log- und IT-Datenmanagement dienen folglich dazu, präzise zu wissen und zu verstehen, was im IT-Netz vorgeht. Damit avanciert das Thema, das früher nur die IT-Abteilungen betraf, aktuell zur Aufgabe der Geschäftsführung. "Log Management hat sich vom technischen Monitoring-Tool zum Steuerungsinstrument für das Management in Form von IT-Datenmanagement gewandelt", erklärt Martin Ulmer weiter. "Schließlich haftet das Management persönlich dafür, grundsätzlich angemessene Risikoüberwachungs- und Früherkennungssysteme zur Gefahrenabwehr einzusetzen. Geht es um ISO-Zertifizierung, gewinnt IT-Datenmanagement weiter an Relevanz für die Unternehmensführung."
Für die technischen und politischen Herausforderungen der ISO 27002 in der Praxis müssen die Log- und IT-Daten lückenlos und in Echtzeit erfasst werden. Dabei darf es weder Einschränkungen im Umfang geben noch dürfen Systemgrenzen eine Hürde darstellen. "Ist dies erreicht, muss die Handhabung so effizient wie möglich erfolgen – und hier ist der Übergang von Log Management zu IT-Datenmanagement zu sehen", so Ulmer weiter. "Es gilt, anhand der Masse an IT- und Log-Daten schnellstmöglich Wissen und Einblick in die Vorgänge im IT-Netz zu schaffen, um direkt auf Verletzungen von Sicherheits- und Compliance-Richtlinien reagieren zu können. Mehr noch: Im Kontext der Gesamtsituation müssen die Risiken von Konstellationen, die für sich genommen harmlos erscheinen, vorab erkennbar werden, um entsprechende Maßnahmen einleiten zu können."
Ein hoher Automatisierungsgrad im IT-Datenmanagement ist entscheidend und senkt die Kosten. "Die LogLogic Out-of-the-Box-Korrelationslösungen sorgen dafür, dass die Logs und IT-Daten über Filter, Reports und Alarm-Funktionen mit den definierten Regeln und 133 Controls aus ISO 27002 abgeglichen werden", erklärt Ulmer. "Kombiniert mit einem Management-Tool lässt sich der Compliance-Workflow automatisieren."
Das prinzipielle Vorgehen:
>> Den Verantwortlichen im Unternehmen werden die Rollen zugewiesen, die für einen ISO 27002 Audit notwendig sind.
>> Die für das Compliance Management festgelegten Prozesse und Reports aktiviert der IT-Administrator.
>> Die Reviewer prüfen die Reports im vorgeschrieben Zeitraum in Relation zu den IT Service Management Prozessen im Unternehmen.
>>Ein Executive Dashboard zeigt, welche Bereiche die Controls eingehalten haben und was bzw. wo optimiert werden muss.
Mit diesen definierten Abläufen und Verantwortlichkeiten ist es für einen Auditor einfacher, die Einhaltung der Controls und die Qualität der Prozesse zu überprüfen.
"Lückenlose IT-Datensammlung und hoher Automatisierungsgrad zwischen IT-Datenmanagement und Compliance-Workflow sind die Aspekte, um die strategischen Vorteile einer ISO 2700x Zertifizierung nicht durch den Aufwand dafür wieder zunichte zu machen", so das Fazit von Martin Ulmer. "Wesentlich ist auch die Skalierbarkeit des IT-Datenmanagements: Nur wenn es mit den Veränderungen im Unternehmen und der Modernisierung des IT-Systems Schritt halten kann, sind getätigte Investitionen für die Einhaltung von Compliance geschützt und zukunftsfähig." (LogLogic: ra)
LogLogic: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>