Funktionen

Ein Fachkonzept für ein leichtgewichtiges und wirksames Informationssicherheits-Management

Motivation und Hintergrund

Um effektives und effizientes IT Service Management (ITSM) zu etablieren, verfolgen gerade IT-Organisationen (IT Service Provider) kleiner und mittlerer Größe immer häufiger einen leichtgewichtigen Ansatz. In diesem Zusammenhang kommen typischerweise Prozessmodelle zur Anwendung, die auf die wesentlichen ITSM-Kernprozesse beschränkt sind, und in der Umsetzung wird versucht, die organisatorische und administrative Komplexität so gering wie möglich zu halten. Ein Standard speziell für leichtgewichtiges IT Service Management ist FitSM.

Zunächst unabhängig von der Implementierung des IT Service Managements gewinnt derzeit das Thema Informationssicherheits-Management zunehmend an Bedeutung, das durch die Standard-Familie ISO/IEC 27000 adressiert wird. Die Etablierung eines Prozesses zum Informationssicherheits-Management sollte daher auch als fester Bestandteil im Rahmen des IT Service Managements in ein entsprechendes Managementsystem integriert werden. Auch FitSM legt das Management der Informationssicherheit als erforderlichen Baustein im Rahmen seines Prozessmodells und der dafür spezifizierten Anforderungen fest. Im Unterschied etwa zur IT Infrastructure Library (ITIL) und dem Internationalen Standard ISO/IEC 20000 stellt FitSM darüber hinaus eine Reihe von Beispieldokumenten (Samples), Dokumentations-Vorlagen (Templates) sowie Umsetzungsleitfäden (Guides) zur Verfügung, wobei die Hilfsmittel, die im Kontext Informationssicherheits-Management verfügbar sind, aktuell noch sehr lückenhaft sind.

Die Motivation hinter der hier ausgeschrieben Arbeit besteht darin, die Etablierung einer Informationssicherheits-Architektur insbesondere in solchen Umfeldern zu erleichtern, in denen ein Managementsystem für leichtgewichtiges IT Service Management bereits etabliert ist oder etabliert werden soll, in dessen Kontext auch das Informationssicherheits-Management eingebettet ist.

Aufgabenstellung

Auf Basis einer umfassenden Literatur- und Anforderungsanalyse soll im ersten Schritt ein voll-umfängliches Fachkonzept zur Etablierung eines umfassenden Prozesses / Systems zum Informationssicherheits-Management (einschließlich aller relevanten Aktivitäten und Elemente wie IS-Governance, Asset-Management, IS-Risikomanagement, IS-Maßnahmenlenkung etc.) entwickelt werden. Darauf aufbauend soll im zweiten Schritt untersucht werden, wie sich das so entwickelte Fachkonzept in ein Fachkonzept für leichtgewichtiges Informationssicherheits-Management im Sinne des FitSM-Ansatzes überführen lässt. Dazu müssen die Elemente aus dem ersten Schritt hinsichtlich Relevanz und Kritikalität beurteilt werden.

Es ergeben sich folgende Teilfragestellungen, die Gegenstand dieser Arbeit sind:

• Welche Anforderungen, Konzepte, Modelle und Good Practices bestehen im Hinblick auf die Implementierung eines effektiven Prozesses zum Informationssicherheitsmanagement - speziell bei IT Service Providern?
• Wie würde unter Berücksichtigung aller dieser Inputs ein umfassendes und konsistentes generisches Fachkonzept zur Realisierung des Prozesses aussehen?
• Wie lassen sich die Elemente des vollständigen Fachkonzepts sinnvoll hinsichtlich ihrer Relevanz / Kritikalität für die Wirksamkeit des Prozesses klassifizieren?
• Wie lässt sich auf dieser Basis ein leichtgewichtiges Fachkonzept ableiten, das im Sinne einer effizienten Operationalisierung auf jede vermeidbare Komplexität verzichtet, und das dennoch alle Kern-Anforderungen an wirksames Informationssicherheits-Management umsetzt?
• Wie lässt sich evaluieren, ob das entwickelte leichtgewichtige Fachkonzept tatsächlich praxistauglich ist?
• Welche Aufwandseinsparungen liegen potenziell zwischen der Implementierung des vollständigen und des leichtgewichtigen Fachkonzepts? Welche weiteren Vor- und Nachteile ergeben sich jeweils?
• Wie lässt sich aus dem leichtgewichtigen Fachkonzept praktische Anleitung im Sinne des FitSM-Ansatzes entwickeln? (z.B. Guides, Samples)
• Lässt sich die dieser Arbeit zugrunde gelegte Methodik auch für andere Themenkomplexe (außer Informationssicherheits-Management) wiederverwenden?

Mögliches Vorgehen

• Literaturrecherche bezüglich bereits vorhandener Anforderungen, Konzepte und Modelle im Kontext eines Informationssicherheits-Managementsystems bzw. -Prozesses
• Entwicklung eines umfassenden Fachkonzepts auf Basis der Inputs der vorangegangenen Recherche
• Strukturierte Analyse der Relevanz und Kritikalität sowie des Etablierungs- und Aufrechterhaltungsaufwands aller Elemente des Fachkonzepts; ggf. Kategorisierung anhand des Reifegrads einer IT-Organisation
• Ableitung eines adaptierten Fachkonzepts für einen leichtgewichtigen Prozess zum Informationssicherheit-Management
• Evaluation im konkreten Anwendungskontext (z.B. durch Experten-Evaluation)
• Ableitung sinnvoller Referenzdokumente zur potenziellen Erweiterung des FitSM-Standards
• Zusammenfassung und Ausblick auf mögliche Folgearbeiten

Aufgabensteller: Prof. Dr. Dieter Kranzlmüller

Anforderungen: Kenntnisse in den Bereichen IT Service Management und Informationssicherheits-Management

Dauer der Masterarbeit: 6 Monate

Anzahl Bearbeiter: 1

Betreuer: Dr. Michael Brenner (LRZ), Dr. Thomas Schaaf