Cyber Security mit TÜV SÜD

Ransomware-Attacken, Social-Engineering-Angriffe, Viren, Würmer & Co.: Unternehmen können heutzutage nicht mehr auf eine ausgereifte IT-Sicherheit verzichten. TÜV SÜD unterstützt mit verschiedenen Cyber-Security-Zertifizierungen.

Eine sichere IT ist die Basis für gute Geschäfte – und für das Vertrauen der Kunden und Mitarbeiter. Denn sie wollen sich darauf verlassen, dass IT-Dienste und Services sicher und zuverlässig funktionieren. Regelmäßige IT-Management-Zertifizierungen sorgen für eine dauerhaft leistungsfähige IT-Governance und erhöhen das Bewusstsein der Mitarbeiter für den professionellen Umgang mit sensiblen Daten. Das ist besonders wichtig, da Mitarbeiter als größte Schwachstelle gelten. TÜV SÜD bietet anerkannte Cyber-Security-Zertifizierungen, die die Sicherheit von Unternehmen erhöhen – und mit Siegel bestätigen.

Weltweit anerkannt: Die führende Informationssicherheits-Norm ISO/IEC 27001

Die ISO/IEC 27001 ist die weltweit bekannteste Norm im Bereich der Informationssicherheit und bietet einen systematischen, strukturierten Ansatz zum Aufbau eines Informationssicherheits-Managementsystems (ISMS). Sie ist international anerkannt, in Geschäftsbeziehungen sehr häufig gefordert und gilt als die wichtigste Cyber-Security-Zertifizierung. Egal ob klein oder groß – sie bietet allen Organisationen klare Leitlinien für die Planung, Umsetzung, Überwachung und Verbesserung ihrer Informationssicherheit. Dabei geht es nicht nur darum, Angriffe abzuwehren, die Norm trägt ebenfalls dazu bei, ungewollte Unterbrechungen zu minimieren und den Geschäftsbetrieb sowie die Verfügbarkeit der IT-Systeme zu gewährleisten. Insbesondere beschäftigt sie sich mit dem Spannungsfeld, Informationen dort, wo nötig, verfügbar zu machen und zugleich vertraulich zu halten. Darüber hinaus etabliert ein ISMS IT-Sicherheit als Teil der Unternehmenskultur und bezieht alle Ebenen bis hin zum Management in die Verantwortung mit ein.

Mit einem nach ISO/IEC 27001 zertifizierten ISMS schützen sich Unternehmen effektiv, schaffen Vertrauen bei allen Stakeholdern und legen die Basis für den Geschäftserfolg. Im Video beleuchten die Experten von TÜV SÜD die ISO/IEC 27001 und thematisieren unter anderem, wieso sie sich ideal zur Risikominimierung eignet.

IT-Sicherheitskatalog für Strom- und Gasnetz- sowie Energieanlagenbetreiber

Betreiber im Energiesektor sind besonders von einer intakten und dauerhaft funktionsfähigen ITK-Infrastruktur abhängig. Deshalb hat die Bundesnetzagentur (BNetzA) gemeinsam mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) die IT-Sicherheitskataloge (IT-SIKAT) gemäß § 11 Absatz 1a und 1b Energiewirtschaftsgesetz (EnWG) entwickelt. Ihr Ziel ist es jeweils, eine sichere Energieversorgung, sei es bei der Erzeugung oder der Übertragung, zu gewährleisten. Für Strom- und Gasnetz- sowie Energieanlagenbetreiber ist damit eine auf die ISO/IEC 27001 aufbauende Zertifizierung Pflicht, allerdings muss das ISMS nach den spezifischen Anforderungen des jeweiligen IT-Sicherheitskatalogs aufgebaut und die Wirksamkeit der Maßnahmen nachgewiesen werden. Die Vorgaben im IT-SIKAT basieren somit auf verschiedenen Normen. Deshalb ist die Wahl des richtigen Zertifizierungspartners, der auch in der Vorbereitung des Audits zur Seite steht, besonders wichtig. Einen Webcast „Zertifizierung nach IT-Sicherheitskatalog“ mit allem Wissenswerten zu Vorbereitung und Auditierung finden interessierte hier und ein Factsheet für Energienetzbetreiber hier.

TISAX®: Sicherheit in der Automobilbranche

Nicht nur wegen den künftigen selbststeuernden Connected Cars und der hochkomplexen verbauten Software in modernen Autos ist das Thema IT-Sicherheit in der Automobilbranche ein ganz zentrales. Denn kaum ein Sektor ist dermaßen vernetzt und globalisiert mit unzähligen unternehmensübergreifenden Geschäftsprozessen. Da die Lieferanten eng in nahezu alle Entwicklungsprozesse eingebunden sind, standen die Themen Datenaustausch und Sicherheit von Daten bei Herstellern und Zulieferern schon seit jeher ganz oben auf der Agenda. Denn die Anfälligkeit für Cyber-Attacken und der Verlust hochkritischer Daten drohen zu jedem Zeitpunkt. Umso wichtiger ist den Auftraggebern ein regelmäßiger Nachweis seitens ihrer Dienstleister, dass sie alle Anforderungen an die Informationssicherheit erfüllen, geteilte Daten und Informationen gut verwahren und im Umgang damit die entsprechende Sorgfalt walten lassen. Früher prüfte jeder Auftraggeber jeden Dienstleister selbst – und das auch noch anhand gleicher oder zumindest ähnlicher Kriterien. Das hat zu einem immensen Mehraufwand speziell für die Lieferanten geführt, da sie öfters identische Tests – für verschiedene Auftraggeber – durchlaufen mussten. Um diese früher typischen Mehrfachprüfungen zu vermeiden, haben VDA und ENX den Prüf- und Austauschmechanismus TISAX® in der Branche etabliert. Dieser bietet Lieferanten drei unterschiedliche Assessment-Levels – abhängig von der Sensibilität der zu verarbeitenden, geteilten Informationen. Ihre Ergebnisse können Lieferanten über die eigens entwickelte Online-Plattform veröffentlichen und damit Geschäftspartnern und allen teilnehmenden Unternehmen kommunizieren, dass ihre Informationssicherheit TISAX®-konform ist. TÜV SÜD ist einer der Partner, die TISAX®-Assessments offiziell durchführen dürfen.

Im Podcast erklärt Richard Arck, Product Compliance Manager bei TÜV SÜD, was genau hinter TISAX® steckt, wie weit sich dieser neue Standard schon durchgesetzt hat, und warum sich auch kleine nicht-technische Dienstleister wie Agenturen und Fotografen damit auseinandersetzen sollten.

Zertifizierte Service-Level in der IT: ISO/IEC 20000-1

Hohe Qualität, effizienter Einsatz von Ressourcen und Zeit – professionell umgesetzte IT-Prozesse sind ein wichtiger Erfolgsfaktor in modernen Unternehmen. Sie tragen dazu bei, dass Mitarbeiter ihre Aufgaben ohne Hürden erfüllen können, und sorgen damit auch für eine hohe Kundenzufriedenheit. Die ISO/IEC 20000-1:2018 ist die international führende Norm für erfolgreiches (IT-)Service-Management. Sie definiert die Anforderungen an ein entsprechendes Managementsystem und bietet Best Practices für eine einfache, konsequente Umsetzung. Anders als etwa die IT Infrastructure Library (ITIL), die Personen in den Vordergrund rückt, ist eine ISO/IEC 20000-1-Zertifizierung der klare Nachweis dafür, dass Unternehmen im (IT-)Service-Management auf die Änderungen und Herausforderungen in einer digitalisierten Welt vorbereitet sind.

Factsheet rund um die Zertifizierung der ISO/IEC 20000-1

Kritische Infrastrukturen – Nachweis über angemessene IT-Sicherheit

Unser Alltag besteht aus Selbstverständlichkeiten. Strom kommt aus der Dose, Wasser aus dem Hahn, der ÖPNV nach Plan, und Lebensmittel sind verfügbar. Die dahintersteckenden Unternehmen nutzen natürlich digitale Systeme, um ihre Dienstleistungen zu erbringen. Was aber bei einer umfassenden IT-Attacke? Ein Ausfall würde den Alltag der zu versorgenden Menschen massiv einschränken und die Gesellschaft eventuell schwer treffen. Deshalb fordert das Bundesamt für Sicherheit in der Informationstechnik (BSI), dass die Betreiber kritischer Infrastrukturen (KRITIS) diese absichern und gemäß § 8a BSIG nachweisen, dass ihre IT-Sicherheit auf dem Stand der Technik ist. Die BSI-Kritis-Verordnung (BSI-KritisV) definiert Kriterien dafür, welche Anlagen und Unternehmen in den Sektoren Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Transport und Verkehr sowie Finanz- und Versicherungswesen als kritisch gelten. Fällt ein Betreiber darunter, hat er die Pflicht, einen entsprechenden Nachweis über den Schutz der IT zu erbringen. Dafür benötigt er einen speziellen Prüfbericht, der dem BSI bestätigt, dass die IT-Sicherheit dem „Stand der Technik“ entspricht. Wie der Nachweis konkret auszusehen hat, wissen etwa die Cyber-Sicherheitsexperten von TÜV SÜD.

Und auch wenn kleine und mittelständische Unternehmen (KMUs) meist nicht als KRITIS zählen, lohnt eine Cyber-Security-Zertifizierung, wenn sie Lieferanten von KRITIS-Unternehmen sind. Denn große Auftraggeber erwarten meist bestimmte Sicherheitsvorkehrungen von ihren Zulieferern.