Rückblick: Warum ein Informationssicherheitsmanagementsystem benötigt wird

Im ersten Teil unserer Serie haben wir erläutert, warum Kanzleien, Sozietäten sowie Arzt- und Therapiepraxen ein Informationssicherheitsmanagementsystem benötigen.

Einzelne Sicherheitslösungen wie Firewall, Endpoint-Security, Mehrfaktor-Authentifizierung oder Datensicherung sind wichtige Bestandteile der Absicherung. Sie bilden jedoch noch keinen zusammenhängenden Sicherheitsbetrieb.

Erst wenn Risiken, Maßnahmen, Verantwortlichkeiten, Kontrollen, Dokumentation und Notfallverfahren miteinander verbunden werden, entsteht ein funktionierendes Informationssicherheitsmanagementsystem.

Den ersten Beitrag finden Sie hier:

Teil 1: Warum Kanzleien, Sozietäten und Praxen ein Informationssicherheitsmanagementsystem benötigen

Was ist ein Informationssicherheitsmanagementsystem?

Ein Informationssicherheitsmanagementsystem – häufig ergänzend als ISMS bezeichnet – ist ein dauerhaft organisierter Prozess zum Schutz wichtiger Informationen, Systeme und Geschäftsabläufe.

Es hilft einer Organisation dabei:

• schützenswerte Informationen und Systeme zu erfassen
• Verantwortlichkeiten eindeutig festzulegen
• Risiken strukturiert zu bewerten
• angemessene technische und organisatorische Maßnahmen abzuleiten
• die Wirksamkeit der Maßnahmen regelmäßig zu kontrollieren
• Sicherheitsvorfälle vorbereitet zu behandeln
• Entscheidungen und Prüfungen nachvollziehbar zu dokumentieren
• das Sicherheitsniveau kontinuierlich weiterzuentwickeln

Die Tragweite eines Informationssicherheitsmanagementsystems reicht deshalb weit über die technische IT hinaus.

Es betrifft unter anderem:

• Inhaber und Geschäftsleitung
• Beschäftigte und externe Mitarbeiter
• Server, Arbeitsplätze und Netzwerke
• Cloud-Dienste und Fachanwendungen
• Benutzerkonten und Berechtigungen
• Datensicherung und Wiederherstellung
• mobile Arbeit und Homeoffice
• externe IT- und Softwaredienstleister
• Notfallmanagement und Krisenkommunikation
• Dokumentation, Kontrolle und Reporting

Ein Informationssicherheitsmanagementsystem beginnt nicht mit dem Kauf eines Sicherheitsprodukts, sondern mit dem Verständnis der eigenen Organisation und ihrer tatsächlichen Risiken.

Warum die Bestandsaufnahme am Anfang steht

Sicherheitsmaßnahmen können nur dann gezielt geplant werden, wenn bekannt ist, was geschützt werden soll.

In vielen Organisationen ist die vorhandene IT über Jahre gewachsen. Neue Arbeitsplätze, Cloud-Dienste, mobile Geräte und Fachanwendungen wurden ergänzt, während ältere Systeme weiterhin betrieben werden.

Dadurch entstehen häufig unübersichtliche Strukturen.

Typische Fragen bleiben unbeantwortet:

• Welche Geräte befinden sich tatsächlich im Einsatz?
• Welche Systeme sind für den täglichen Betrieb unverzichtbar?
• Welche Benutzer verfügen über administrative Rechte?
• Welche Cloud-Dienste werden verwendet?
• Wo werden Mandanten- oder Patientendaten gespeichert?
• Welche Dienstleister besitzen Zugänge zu internen Systemen?
• Welche Geräte erhalten keine Sicherheitsupdates mehr?
• Welche Daten sind vollständig gesichert?
• Welche Systeme könnten im Notfall zuerst wiederhergestellt werden?

Ohne eine strukturierte Bestandsaufnahme werden Sicherheitsmaßnahmen häufig nur dort umgesetzt, wo ein Problem zufällig sichtbar wird.

Ein Informationssicherheitsmanagementsystem ersetzt dieses reaktive Vorgehen durch eine nachvollziehbare Gesamtübersicht.

Was bei einer Bestandsaufnahme erfasst werden sollte

Die Bestandsaufnahme umfasst mehr als eine Liste vorhandener Computer.

Sie sollte alle technischen, organisatorischen und personellen Elemente erfassen, die für die Informationsverarbeitung und den Geschäftsbetrieb relevant sind.

Server und zentrale Systeme

• physische und virtuelle Server
• Domänencontroller und Benutzerverwaltung
• Datei- und Datenbankserver
• Kanzlei- und Praxisverwaltungssysteme
• Terminalserver und Remote-Arbeitsplätze
• Archiv- und Dokumentenmanagementsysteme
• Telefonie- und Kommunikationssysteme

Arbeitsplätze und mobile Geräte

• Desktop-Computer
• Notebooks
• Tablets
• geschäftlich verwendete Smartphones
• private Geräte mit geschäftlichem Zugriff
• Homeoffice-Arbeitsplätze
• Geräte für Fernzugriff oder Rufbereitschaft

Netzwerk und technische Infrastruktur

• Firewalls und Router
• Switche und WLAN-Systeme
• VPN- und Fernzugänge
• Netzwerksegmentierung
• Drucker und Multifunktionsgeräte
• medizinische oder technische Geräte mit Netzwerkanbindung
• Internetanschlüsse und Ausfallverbindungen

Cloud-Dienste und externe Plattformen

• Microsoft 365
• Cloud-Speicher
• Online-Terminverwaltung
• Abrechnungs- und Buchhaltungsdienste
• Portale von Versicherungen, Gerichten oder Behörden
• externe Datenaustauschplattformen
• Webhosting und Domains

Benutzerkonten und Berechtigungen

• aktive Benutzerkonten
• administrative Konten
• gemeinsam verwendete Konten
• Konten ausgeschiedener Beschäftigter
• externe Dienstleisterzugänge
• Notfall- und Ersatzkonten
• Freigaben in Cloud-Diensten und Dateisystemen

Datensicherungen und Wiederherstellung

• gesicherte Systeme und Daten
• Sicherungsintervalle
• Speicherorte der Backups
• externe und getrennte Sicherungskopien
• unveränderbare Sicherungen
• Aufbewahrungszeiten
• Überwachung der Sicherungsläufe
• Ergebnisse bisheriger Wiederherstellungstests

Nicht nur Technik erfassen: Geschäftsprozesse verstehen

Eine rein technische Inventarliste reicht für eine Risikoanalyse nicht aus.

Entscheidend ist die Verbindung zwischen Systemen und den tatsächlichen Arbeitsabläufen.

Ein Server kann technisch nur ein Gerät sein. Für die Organisation kann er jedoch die zentrale Kanzlei- oder Praxissoftware, sämtliche Akten, Termine und Abrechnungsdaten enthalten.

Deshalb müssen auch die wesentlichen Geschäftsprozesse erfasst werden.

Bei Kanzleien und Sozietäten gehören dazu beispielsweise:

• Mandatsannahme und Stammdatenverwaltung
• Fristenkontrolle
• Dokumenten- und Aktenbearbeitung
• Kommunikation mit Gerichten und Behörden
• Bearbeitung elektronischer Postfächer
• Zeiterfassung und Abrechnung
• Finanzbuchhaltung und Zahlungsverkehr
• Archivierung und Aktenaufbewahrung

Bei Arzt- und Therapiepraxen gehören dazu beispielsweise:

• Terminplanung
• Patientenaufnahme
• medizinische Dokumentation
• Diagnostik und Befundverwaltung
• Labor- und Arztkommunikation
• Rezept- und Verordnungsprozesse
• Abrechnung
• Telematikinfrastruktur und KIM-Kommunikation
• Archivierung medizinischer Unterlagen

Erst wenn diese Prozesse bekannt sind, lässt sich beurteilen, welche Systeme besonders kritisch sind und wie schnell sie nach einem Ausfall wieder zur Verfügung stehen müssen.

Informationen und Datenbestände erfassen

Ein Informationssicherheitsmanagementsystem schützt nicht nur Geräte, sondern vor allem die darauf verarbeiteten Informationen.

Deshalb sollte die Bestandsaufnahme auch wichtige Datenarten und Informationsbestände berücksichtigen.

In Kanzleien können dies unter anderem sein:

• Mandantenstammdaten
• Vertrags- und Prozessunterlagen
• Fristen und Termindaten
• Schriftsätze und Beweismittel
• Finanz- und Vermögensinformationen
• Geschäftsgeheimnisse von Mandanten
• interne Personal- und Abrechnungsdaten

In Praxen können dies unter anderem sein:

• Patientenstammdaten
• Diagnosen und Befunde
• medizinische Dokumentationen
• Labor- und Bilddaten
• Verordnungen und Therapiedaten
• Abrechnungsinformationen
• Beschäftigten- und Personaldaten

Dabei sollte nicht nur betrachtet werden, wo Daten gespeichert werden.

Ebenso relevant ist:

• wer auf die Daten zugreifen darf
• über welche Systeme die Daten übertragen werden
• ob lokale Kopien oder Exporte existieren
• ob Daten auf mobilen Geräten gespeichert werden
• welche externen Stellen Daten erhalten
• wie lange die Daten aufbewahrt werden
• wie Daten sicher gelöscht werden

Externe Dienstleister und Abhängigkeiten einbeziehen

Kanzleien und Praxen arbeiten häufig mit mehreren externen Dienstleistern zusammen.

Dazu gehören beispielsweise:

• IT-Betreuung
• Softwareanbieter
• Cloud- und Hostinganbieter
• Abrechnungsstellen
• Telekommunikationsanbieter
• Datenschutzbeauftragte
• Archivierungs- und Entsorgungsunternehmen
• Fernwartungs- und Supportanbieter

Diese Dienstleister können Zugriff auf Systeme, Daten oder geschäftskritische Prozesse besitzen.

Die Bestandsaufnahme sollte deshalb dokumentieren:

• welcher Dienstleister welche Aufgabe übernimmt
• auf welche Systeme oder Daten zugegriffen werden kann
• welche Benutzerkonten und Fernzugänge bestehen
• wie Zugriffe abgesichert und protokolliert werden
• welche Vertrags- und Datenschutzregelungen gelten
• welche Reaktionszeiten vereinbart wurden
• welche Abhängigkeit vom Dienstleister besteht
• wie bei einem Ausfall oder Dienstleisterwechsel vorzugehen ist

Ein ausgelagerter Dienst bleibt Bestandteil des eigenen Risikos. Die technische Durchführung kann übertragen werden, die Abhängigkeit und Verantwortung verschwinden dadurch nicht.

Was bedeutet Schutzbedarf?

Nach der Bestandsaufnahme wird bewertet, wie schützenswert ein System, eine Information oder ein Geschäftsprozess ist.

Diese Bewertung wird als Schutzbedarfsfeststellung bezeichnet.

Dabei werden insbesondere die drei grundlegenden Schutzziele betrachtet:

• Vertraulichkeit
• Integrität
• Verfügbarkeit

Schutzbedarf bei der Vertraulichkeit

Es wird beurteilt, welche Folgen eine unberechtigte Offenlegung hätte.

Besonders hoher Schutzbedarf besteht beispielsweise bei:

• Mandanten- und Patientenakten
• Gesundheitsdaten
• Straf- und Ermittlungsunterlagen
• Geschäftsgeheimnissen
• Personal- und Gehaltsdaten
• Zugangsdaten und Sicherheitsschlüsseln

Schutzbedarf bei der Integrität

Es wird bewertet, welche Folgen eine unbemerkte Veränderung hätte.

Besonders kritisch sind beispielsweise:

• Fristen und Gerichtstermine
• Bankverbindungen und Zahlungsanweisungen
• medizinische Dokumentationen
• Diagnosen und Medikationsdaten
• Abrechnungsinformationen
• Benutzer- und Berechtigungseinstellungen

Schutzbedarf bei der Verfügbarkeit

Es wird beurteilt, wie lange ein Ausfall toleriert werden kann.

Ein System kann beispielsweise als besonders kritisch gelten, wenn bereits ein Ausfall von wenigen Stunden zu erheblichen betrieblichen Einschränkungen führt.

Dazu können gehören:

• Kanzlei- oder Praxisverwaltungssystem
• Terminverwaltung
• E-Mail-Kommunikation
• Datei- und Dokumentenablage
• Telematikinfrastruktur
• Fristen- und Wiedervorlagensysteme
• zentrale Benutzerverwaltung

Was ist eine Risikoanalyse?

Die Risikoanalyse verbindet den Schutzbedarf mit möglichen Bedrohungen und vorhandenen Schwachstellen.

Sie untersucht, welche Ereignisse eintreten könnten, wie wahrscheinlich sie sind und welche Auswirkungen sie hätten.

Ein Risiko entsteht vereinfacht aus dem Zusammenspiel von:

• einem schützenswerten Wert oder Prozess
• einer möglichen Bedrohung
• einer vorhandenen Schwachstelle
• der möglichen Schadensauswirkung

Beispiel:

• Schützenswerter Wert: zentrale Mandanten- oder Patientendaten
• Bedrohung: Ransomware
• Schwachstelle: fehlende Sicherheitsupdates und unzureichend getrennte Backups
• Mögliche Folge: mehrtägiger Betriebsausfall und Verlust wichtiger Daten

Das Ergebnis der Risikoanalyse ist keine allgemeine Sammlung denkbarer Gefahren. Es ist eine auf die konkrete Organisation bezogene Bewertung.

Typische Bedrohungen für Kanzleien und Praxen

Bei der Risikoanalyse sollten sowohl gezielte Angriffe als auch alltägliche technische und organisatorische Störungen betrachtet werden.

Typische Bedrohungen sind:

• Phishing und Social Engineering
• kompromittierte E-Mail-Konten
• Ransomware und Schadsoftware
• Diebstahl aktiver Sitzungen
• Ausnutzung ungepatchter Schwachstellen
• Fehlkonfigurationen in Cloud-Diensten
• gestohlene oder verlorene Endgeräte
• unberechtigte interne Zugriffe
• versehentlich gelöschte oder veränderte Daten
• Ausfall von Servern und Speichersystemen
• Strom- und Internetausfälle
• Fehler bei Datensicherungen
• Ausfall eines externen Dienstleisters
• Fehlbedienung und menschliche Fehler
• Brand-, Wasser- oder Gebäudeschäden

Ein Informationssicherheitsmanagementsystem betrachtet deshalb nicht ausschließlich Cyberangriffe.

Auch technische Defekte, organisatorische Fehler und physische Ereignisse können die Vertraulichkeit, Integrität oder Verfügbarkeit erheblich beeinträchtigen.

Risiken nicht nur nach Wahrscheinlichkeit bewerten

Ein seltenes Ereignis kann trotzdem ein hohes Risiko darstellen, wenn die möglichen Auswirkungen erheblich sind.

Umgekehrt kann ein häufig auftretendes Problem mit begrenzter Auswirkung eine geringere Priorität besitzen.

Bei der Bewertung sollten daher mindestens zwei Faktoren betrachtet werden:

• Wie wahrscheinlich ist das Ereignis?
• Wie hoch wäre der mögliche Schaden?

Die Schadensbewertung kann mehrere Bereiche umfassen:

• Arbeits- und Betriebsausfall
• Verlust oder Offenlegung sensibler Daten
• Beeinträchtigung von Mandanten oder Patienten
• finanzielle Schäden
• Haftungs- und Schadenersatzfragen
• gesetzliche und berufsrechtliche Folgen
• Reputationsverlust
• Aufwand für Analyse und Wiederherstellung

Branchenspezifisches Beispiel: Ausfall einer Kanzleisoftware

Eine Kanzleisoftware kann Mandantenakten, Fristen, Dokumente, Zeiterfassung und Abrechnung miteinander verbinden.

Fällt dieses System aus, können mehrere Geschäftsprozesse gleichzeitig betroffen sein.

Mögliche Folgen sind:

• fehlender Zugriff auf Mandantenakten
• nicht verfügbare Fristen und Wiedervorlagen
• eingeschränkte Dokumentenerstellung
• gestörte Kommunikation mit Gerichten und Mandanten
• Ausfall von Zeiterfassung und Abrechnung
• erheblicher manueller Ersatzaufwand

Die Risikoanalyse muss deshalb nicht nur den Server betrachten, auf dem die Software installiert ist.

Sie muss auch Datenbank, Netzwerk, Benutzerkonten, Datensicherung, Dienstleister und Wiederherstellungszeiten einbeziehen.

Branchenspezifisches Beispiel: Ausfall eines Praxisverwaltungssystems

Das Praxisverwaltungssystem ist in vielen Praxen der zentrale Ausgangspunkt nahezu aller Arbeitsabläufe.

Ein Ausfall kann unter anderem beeinträchtigen:

• Patientenaufnahme
• Terminplanung
• medizinische Dokumentation
• Rezept- und Verordnungsprozesse
• Labor- und Befundkommunikation
• Abrechnung
• KIM-Kommunikation

Auch hier muss die Risikoanalyse die gesamte Abhängigkeit betrachten:

• Server und Datenbank
• Arbeitsplätze
• Netzwerk
• Telematikinfrastruktur
• Softwarewartung
• Datensicherung
• Wiederherstellungsverfahren
• verfügbare Ersatzabläufe

Wiederanlaufzeiten festlegen

Ein wichtiger Teil der Risikoanalyse ist die Frage, wie lange ein Geschäftsprozess ausfallen darf.

Nicht jedes System muss innerhalb derselben Zeit wiederhergestellt werden.

Für besonders kritische Prozesse kann eine Wiederherstellung innerhalb weniger Stunden erforderlich sein.

Weniger kritische Systeme können möglicherweise einen längeren Ausfall verkraften.

Zu klären ist unter anderem:

• Welche Systeme müssen zuerst wiederhergestellt werden?
• Wie lange kann der Betrieb ohne dieses System fortgeführt werden?
• Welche manuellen Ersatzverfahren existieren?
• Welche Daten dürfen maximal verloren gehen?
• Welche technischen und personellen Ressourcen werden benötigt?
• Welche externen Dienstleister müssen eingebunden werden?

Diese Festlegungen beeinflussen unmittelbar die Anforderungen an Datensicherung, Ersatzsysteme, Dokumentation und Notfallplanung.

Bestehende Schutzmaßnahmen berücksichtigen

Eine Risikoanalyse bewertet nicht nur Bedrohungen und Schwachstellen. Sie berücksichtigt auch bereits vorhandene Schutzmaßnahmen.

Dazu können gehören:

• Firewall und Netzwerksegmentierung
• Endpoint-Security
• Patchmanagement
• Mehrfaktor-Authentifizierung und Passkeys
• Geräteverschlüsselung
• Datensicherung und Wiederherstellung
• Monitoring und Protokollauswertung
• Berechtigungs- und Freigabekonzepte
• Mitarbeiterschulungen
• Notfall- und Eskalationswege

Entscheidend ist jedoch nicht nur, ob eine Maßnahme vorhanden ist.

Es muss auch geprüft werden:

• Erfasst die Maßnahme alle relevanten Systeme?
• Ist sie technisch korrekt eingerichtet?
• Wird sie regelmäßig aktualisiert?
• Werden Fehler und Warnmeldungen ausgewertet?
• Ist eine zuständige Person benannt?
• Wurde die Wirksamkeit praktisch getestet?

Eine vorhandene Sicherheitslösung reduziert ein Risiko nur dann, wenn sie vollständig eingerichtet, überwacht und regelmäßig geprüft wird.

Risiken priorisieren

Eine Risikoanalyse führt häufig zu mehreren notwendigen Maßnahmen.

Nicht jede Maßnahme kann gleichzeitig umgesetzt werden. Deshalb müssen Risiken priorisiert werden.

Eine sinnvolle Priorisierung berücksichtigt:

• mögliche Schadenshöhe
• Eintrittswahrscheinlichkeit
• betroffene Geschäftsprozesse
• gesetzliche und vertragliche Anforderungen
• bereits bekannte aktive Schwachstellen
• technischen und organisatorischen Umsetzungsaufwand
• verfügbare personelle und finanzielle Ressourcen

Typische Sofortmaßnahmen können beispielsweise sein:

• Schließen kritischer Sicherheitslücken
• Absicherung administrativer Konten
• Einführung von Mehrfaktor-Authentifizierung
• Prüfung und Trennung der Datensicherung
• Entfernung nicht mehr benötigter Benutzerkonten
• Absicherung unkontrollierter Fernzugänge
• Aktualisierung veralteter Betriebssysteme

Mittelfristige Maßnahmen können beispielsweise die Einführung eines zentralen Monitorings, die Segmentierung des Netzwerks oder die Überarbeitung organisatorischer Prozesse umfassen.

Restrisiken bewusst behandeln

Nicht jedes Risiko kann vollständig beseitigt werden.

Nach Umsetzung angemessener Maßnahmen verbleibt häufig ein Restrisiko.

Dieses Restrisiko sollte nicht unbeabsichtigt bestehen bleiben, sondern bewusst bewertet und dokumentiert werden.

Grundsätzlich bestehen mehrere Möglichkeiten:

• Risiko durch Maßnahmen reduzieren
• Risiko durch Verträge oder Versicherungen teilweise übertragen
• risikobehafteten Prozess verändern oder beenden
• Restrisiko bewusst akzeptieren

Die Entscheidung über wesentliche Restrisiken ist eine Aufgabe der Inhaber oder Geschäftsleitung.

Die IT-Abteilung oder der externe Dienstleister kann das Risiko analysieren und Maßnahmen empfehlen.

Die unternehmerische Entscheidung über Akzeptanz, Priorität und Ressourcen verbleibt jedoch bei der Leitung.

Warum Dokumentation Teil der Risikoanalyse ist

Eine Risikoanalyse muss nachvollziehbar dokumentiert werden.

Andernfalls lässt sich später kaum erklären:

• welche Risiken bekannt waren
• wie sie bewertet wurden
• warum bestimmte Maßnahmen priorisiert wurden
• wer eine Entscheidung getroffen hat
• welche Restrisiken akzeptiert wurden
• wann eine erneute Prüfung vorgesehen ist

Die Dokumentation dient damit mehreren Zielen:

• Arbeitsgrundlage für die technische Umsetzung
• Entscheidungsgrundlage für Inhaber und Geschäftsleitung
• Nachweis gegenüber Datenschutzbeauftragten oder Auftraggebern
• Grundlage für Notfallplanung und Wiederherstellung
• Vergleich bei späteren Überprüfungen

Eine Risikoanalyse ist keine einmalige Aufgabe

Systeme, Arbeitsweisen und Bedrohungen verändern sich.

Neue Mitarbeitende, neue Standorte, neue Cloud-Dienste oder eine veränderte Kanzlei- beziehungsweise Praxissoftware können neue Risiken erzeugen.

Eine Risikoanalyse sollte deshalb regelmäßig überprüft werden.

Anlässe für eine erneute Bewertung sind unter anderem:

• Einführung neuer Software oder Cloud-Dienste
• Eröffnung oder Schließung eines Standorts
• größere personelle Veränderungen
• Wechsel eines IT-Dienstleisters
• Einführung mobiler oder privater Geräte
• bekannt gewordene neue Schwachstellen
• Sicherheitsvorfälle
• Änderungen gesetzlicher oder vertraglicher Anforderungen
• wesentliche Veränderungen der Geschäftsprozesse

Das Informationssicherheitsmanagementsystem sorgt dafür, dass solche Veränderungen in die Sicherheitsbewertung einfließen.

Welche Ergebnisse sollte die Analyse liefern?

Am Ende der Bestandsaufnahme und Risikoanalyse sollte keine unübersichtliche Sammlung technischer Einzelinformationen stehen.

Das Ergebnis sollte für Inhaber und Geschäftsleitung verständlich sein.

Ein sinnvolles Ergebnis umfasst:

• Übersicht über Systeme, Daten und Dienstleister
• Darstellung kritischer Geschäftsprozesse
• Bewertung des Schutzbedarfs
• Liste wesentlicher Risiken und Schwachstellen
• Beschreibung bereits vorhandener Schutzmaßnahmen
• priorisierte Handlungsempfehlungen
• Benennung von Verantwortlichkeiten
• Dokumentation akzeptierter Restrisiken
• Festlegung zukünftiger Prüftermine

Damit entsteht die Grundlage für den nächsten Schritt: die gezielte Auswahl und Umsetzung technischer und organisatorischer Maßnahmen.

Bestandsaufnahme und Risikoanalyse für Kanzleien und Praxen im Ruhrgebiet

Kanzleien, Sozietäten sowie Arzt- und Therapiepraxen im Ruhrgebiet arbeiten zunehmend mit vernetzten Systemen, Cloud-Diensten, mobilen Arbeitsplätzen und externen Dienstleistern.

Ob in Bochum, Herne, Dortmund, Essen, Gelsenkirchen, Witten, Recklinghausen, Castrop-Rauxel, Hattingen, Duisburg, Oberhausen oder Mülheim an der Ruhr: Die technische Abhängigkeit ist häufig über Jahre gewachsen.

Gerade Organisationen mit einem Jahresumsatz zwischen etwa einer und fünf Millionen Euro verfügen meist nicht über eine eigene Informationssicherheitsabteilung.

Sie benötigen deshalb eine strukturierte und verständliche Analyse, die technische Risiken in nachvollziehbare unternehmerische Entscheidungen übersetzt.

Die InoBit Datensysteme GmbH unterstützt Kanzleien, Sozietäten und Praxen im Ruhrgebiet bei der vollständigen Erfassung ihrer IT-Struktur, der Bewertung kritischer Geschäftsprozesse und der Erstellung eines priorisierten Maßnahmenplans.

Fazit: Nur bekannte Risiken können gezielt behandelt werden

Eine Bestandsaufnahme und Risikoanalyse ist die Grundlage jedes funktionierenden Informationssicherheitsmanagementsystems.

Sie schafft Transparenz über Systeme, Daten, Benutzerkonten, Dienstleister und geschäftskritische Abläufe.

Erst dadurch wird erkennbar:

• welche Informationen besonders geschützt werden müssen
• welche Systeme für den Betrieb unverzichtbar sind
• welche Schwachstellen bestehen
• welche Risiken zuerst behandelt werden sollten
• welche Schutzmaßnahmen tatsächlich benötigt werden

Die Risikoanalyse verhindert, dass Sicherheitsmaßnahmen wahllos oder ausschließlich aufgrund aktueller Einzelprobleme eingeführt werden.

Stattdessen entsteht ein nachvollziehbarer Maßnahmenplan, der Risiko, Dringlichkeit und wirtschaftliche Umsetzbarkeit miteinander verbindet.

Ein Unternehmen kann nur schützen, was es kennt. Und es kann nur sinnvoll priorisieren, was es zuvor bewertet hat.

Im dritten Teil unserer Serie zeigen wir, wie aus den erkannten Risiken konkrete technische und organisatorische Maßnahmen abgeleitet werden.

Teil 3: Technische und organisatorische Maßnahmen für Kanzleien, Sozietäten und Praxen

Wichtiger Hinweis

Dieser Beitrag gibt einen allgemeinen Überblick über Bestandsaufnahme, Schutzbedarfsfeststellung und Risikoanalyse im Rahmen eines Informationssicherheitsmanagementsystems.

Er stellt keine Rechts-, Datenschutz- oder Zertifizierungsberatung dar. Welche gesetzlichen, berufsrechtlichen und vertraglichen Anforderungen für eine konkrete Kanzlei, Sozietät oder Praxis gelten, muss individuell geprüft werden.

Umfang und Tiefe einer Risikoanalyse hängen unter anderem von der Organisationsgröße, den verarbeiteten Informationen, den eingesetzten Systemen, den Geschäftsprozessen, den Standorten und den bestehenden Abhängigkeiten von Dienstleistern ab.

Die Bestandsaufnahme und Risikoanalyse müssen regelmäßig überprüft und bei wesentlichen Veränderungen der Organisation, der technischen Infrastruktur oder der Risikolage aktualisiert werden.