Erfolgsfaktoren für gelebte Informationssicherheit

Willkommen in der
ORANGEN Welt.
UNSER WEG ZUR ISO 27001 ZERTIFIZIERUNG
Gebrüder Weiss ist das älteste
Transportunternehmen der Welt.
Weltweites Netzwerk
ÜBER GEBRÜDER WEISS
Nettoumsatz in Mio Euro
ÜBER GEBRÜDER WEISS
541.700 m²
Logistikfläche
150
3.500
GW Standorte
Lkw‘s täglich für GW
unterwegs
25,6
10,98
Mio. versendete
Pakete mit GWP
Mio. Sendungen
weltweit
6.000
Mitarbeiter
weltweit
IT-SERVICES
Modernes Informationsmanagement
● Barcode System
Lückenlose Sendungsverfolgung
● EDI
Maßgeschneiderter elektronischer Datenaustausch
● iOrder
Internetbasierte Versandabwicklung
● iSIS
Internetbasiertes Track & Trace
● OPAL
Internetbasierte Organisation von Lademitteln
● eFactura
Elektronischer Austausch von Rechnungsdaten
6
AUSGANGSBASIS
Anforderungen für ein zertifiziertes ISMS
Überlegungen
● Kundenanforderung & Verträge
● Wie können Anforderungen effizient umgesetzt
werden?
● Informationssicherheit ist Marktstandard &
Wettbewerbsvorteil
● z.B. bei Ausschreibungen
● Verbesserung Informationssicherheit &
Service Qualität
● Etablierung von Richtlinien für Mitarbeiter
● Fragen rund um die Definition des Scopes
● Mitarbeiteranzahl im Scope (60 Mitarbeiter) mit
Erweiterungsoption
● Wie stellt sich die technische Infrastruktur dar?
● Welche Ressourcen werden für das ISMS
dediziert benötigt (Rollen/Verantwortlichkeiten)
● Sind GW als Transport- und Logistikunternehmen sowie als ISP Teil der kritischen
Infrastruktur? Auswirkungen?
UNSER VERSTÄNDNIS
Das Ziel von Informationssicherheit ist es, alle wichtigen und benötigten
Informationen zu identifizieren und die dafür erforderlichen Prozesse und
Maßnahmen so zu steuern, dass Verfügbarkeit, Integrität, Vertraulichkeit
und Nachvollziehbarkeit jederzeit garantiert werden können.
UNSER VERSTÄNDNIS
● Klares Bekenntnis der Geschäftsleitung
● Unsere Prioritäten in der Bewahrung der IS
1. Availability
2. Integrity
3. Confidentiality
● Sensibilisieren – Gefahren erkennen – Angemessen
Reagieren
● Wichtig: „It is not a one woman show“
● Zusammenspiel der Stakeholder und klare
Formulierung der Rollen und Verantwortlichkeiten
innerhalb von Abläufen/Prozessen
● Mehrwert im Betrieb schaffen (z.B. ITBetriebshandbuch, Dokumentation der Abläufe)
● Umsetzung: „Hart zur Sache – sanft zur Person“
UNSERE BEDROHUNGEN
● Hacker Angriff auf GW Systeme mit dem Ziel eines Systemausfalls
● Diebstahl von Kunden- oder Zahlungsdaten
● Manipulation von Geschäftsprozessen
(„Fake President Attacke“)
● Ausspähen von Geschäftsgeheimnissen durch
Social Engineering
● Demotivierte Innentäter mit attraktiven Angeboten von
„außen“
● Cyber Terrorismus
● Angriff auf kritische Transport- und Logistikinfrastruktur
eines Landes
● Strafen und Haftungen aufgrund der Verletzung von rechtlichen Verpflichtungen (Compliance Verstöße)
● Geschäftsausfall durch fehlende interne Kontrollen oder nicht erkannte Risiken
UNSERE HERANGEHENSWEISE
„DER GWEG ZUR INFORMATIONSSICHERHEIT“
● Sinnvolles Scoping um die wesentlichen Geschäftsbereiche zu schützen
● ISO 27001 GAP Analyse zur Identifikation was fehlt
● Projektplan – „in einem Jahr zum Zertifikat“
● Zentrale Dokumentation und Verteilung von Vorgaben
● Schulen, schulen, schulen
(Basis-Schulung, Erweiterte Schulung, Spezial-Schulungen,
Management-Awareness, Auditvorbereitungsschulung)
● Auf Gefährdungen basierende Risikobewertung
(Klare, verständliche Methodik und effiziente Workshops)
● Umfassende Prozessintegration im Scope
● Externe Unterstützung durch einen erfahrener Berater
mit Praxiswissen (ehemaliger Group CISO)
● Zertifizierung durch österr. Zertifizierungsstelle
UNSERE
HERAUSFORDERUNGEN
● Das ISMS muss zum Leben erweckt werden!
o Das Schreiben von Richtlinien und Arbeitsanweisungen geht schnell ...
o ... bis der Prozess gelebt wird, dauert es jedoch lange (1 Jahr) ...
o ... und danach beginnt erst der kontinuierliche Verbesserungsprozess
● Umgang mit Widerständen (Änderungen bringen Widerstände)
● Datenschutzerklärung und deren Kenntnisnahme
● Haftungsunsicherheiten bei IT-Administratoren
● Time Management, da alle operativ im Betriebsmodus sind
● Management Verständnis für IS in kundenrelevanten Prozessen/Anforderungen
o Herausforderung eine Lösung zu finden und nicht einfach sagen: „Es ist ein Sicherheitsrisiko!“
UNSERE
ERFOLGSFAKTOREN
● Ressourcenbereitstellung (intern/extern) durch
die Geschäftsleitung
● Vorbildwirkung durch mittleres Management
● Einbeziehung der Mitarbeiter und Fachbereiche
- Aktive Bewusstseinsbildung
- Abbau von Ängsten
● Einführung von „ISMS Enablern“
- Die wichtige Rolle der „ISAs“
● Nutzen von Dokumentation darstellen und
unterstützende Plattformen bereitstellen
● Soft Skills im IS-Management
- Kombinieren der Säule Mensch, Prozess, Technik
● IS Manager: „jemanden der etwas weiterbringt“!
UNSER ZERTIFIKAT
Zertifiziert seit Mai 2015
Erleben Sie selbst, wie
15