Sicherheitsprojekte

HowTo für die Einführung eines ISMS nach IT-Grundschutz mit alles ToDo's und best practice für eine strukturierte Arbeitsweise zum abarbeiten der Arbeitspakete ohne ein überbordendes Projektmanagement.

Projektorganisation für Sicherheitsprojekt

Die Überschrift suggeriert, dass Sicherheit ein Projekt sei – das ist jedoch irreführend. Sicherheit ist kein einmaliges Vorhaben, sondern ein fortlaufender Prozess, der kontinuierliche Anpassung und Überwachung erfordert. Im Gegensatz zu einem Projekt, das der Definition nach eine einmalige und abgeschlossene Aufgabe darstellt, ist Sicherheit eine dauerhafte Aufgabe, die niemals „fertig“ ist.

Dennoch können Methoden der Projektorganisation auch im Sicherheitsmanagement sinnvoll eingesetzt werden. Der PDCA-Zyklus (Plan-Do-Check-Act) wird in jeder Iteration des Sicherheitsprozesses durchlaufen, wobei jeder Zyklus methodisch wie ein sich wiederholendes Projekt betrachtet werden kann.

Themensammlung als Mindmap

Mindmaps sind visuelle Darstellungen von Informationen, die helfen, Gedanken, Ideen und Konzepte zu strukturieren und zu ordnen. Eine Mindmap beginnt in der Regel mit einem zentralen Begriff oder Thema, von dem aus Äste in verschiedene Richtungen verlaufen. Diese Äste repräsentieren Unterthemen oder Assoziationen, die weiter verfeinert werden können.

Die Methode der Mindmaps wurde in den 1970er Jahren vom britischen Psychologen Tony Buzan populär gemacht. Er entwickelte die Technik, um die Art und Weise zu verbessern, wie Menschen Informationen erfassen, speichern und verarbeiten. Buzan ging davon aus, dass das menschliche Gehirn Informationen nicht linear, sondern assoziativ verarbeitet, was sich gut durch verzweigte Diagramme wie Mindmaps abbilden lässt.

Die wesentlichen Merkmale von Mindmaps sind:

• Zentrales Thema: Ein Begriff oder eine Idee steht im Mittelpunkt.
• Verzweigte Struktur: Äste, die das zentrale Thema mit Unterthemen verbinden.
• Schlüsselwörter und Symbole: Kurze Begriffe, Bilder und Symbole helfen, Inhalte schnell zu erfassen.
• Farbkodierung: Farben strukturieren die Mindmap und heben wichtige Informationen hervor.

Mindmaps lassen sich in vielen Szenarien einsetzen. Sie eignen sich gut für Brainstorming-Sitzungen, da sie helfen, Ideen ohne eine feste Reihenfolge zu erfassen. Auch beim Planen von Projekten, Vorträgen oder zum Lernen komplexer Themen sind sie hilfreich, weil sie Informationen visuell organisieren und die Beziehungen zwischen verschiedenen Aspekten verdeutlichen.

Aufgaben organisieren mit einem Kanban Board

Kanban wird in diesem Artikel verwendet, weil es flexibel und einfach ist und keinen großen organisatorischen oder technischen Aufwand erfordert. Es ist auch ohne Schulung intuitiv nutzbar und benötigt im einfachsten Fall nur ein Witheboard und einen Block Haftnotizen. Im Gegensatz zu anderen Projektmanagement-Methoden wie Scrum oder dem Wasserfall-Modell erlaubt es, Aufgaben jederzeit hinzuzufügen oder zu ändern. Es konzentriert sich auf den kontinuierlichen Arbeitsfluss, ohne feste Iterationen. Durch die visuelle Darstellung auf dem Kanban-Board sind Fortschritt und Engpässe sofort erkennbar. WIP-Limits verhindern Überlastung, und der Ansatz der kontinuierlichen Verbesserung sorgt für eine schrittweise Optimierung der Prozesse.

Was ist Kanban?

Kanban stammt ursprünglich aus der japanischen Automobilindustrie. Es wurde in den 1940er Jahren von Toyota entwickelt, um die Produktion effizienter zu gestalten. Das Wort „Kanban“ bedeutet auf Japanisch „Signal“ oder „Karte“. Das System sollte sicherstellen, dass Teile nur dann produziert oder nachgeliefert werden, wenn sie tatsächlich benötigt werden, um Überproduktion und Verschwendung zu vermeiden.

Einsatzmöglichkeiten von Kanban: Kanban wird heute nicht nur in der Produktion, sondern auch in vielen anderen Bereichen eingesetzt, vor allem im Projektmanagement und in der Softwareentwicklung. Es hilft, Arbeitsprozesse zu organisieren und den Arbeitsfluss zu optimieren. Typische Einsatzgebiete sind:

• Softwareentwicklung: Verwalten von Aufgaben wie Programmierung, Testing und Deployment.
• Projektmanagement: Überblick über Projektaufgaben und deren Fortschritt.
• Marketing: Planung und Ausführung von Kampagnen oder Content-Erstellung.
• IT-Support: Verfolgung und Bearbeitung von Support-Tickets.
• Persönliches Aufgabenmanagement: Organisieren von täglichen oder wöchentlichen Aufgaben.

Kanban lässt sich flexibel an die Anforderungen und Arbeitsprozesse jedes Teams oder Projekts anpassen.

Wichtigstes Werkzeug ist das Kanban-Board. Es ist ein visuelles Werkzeug zur Organisation und Verwaltung von Aufgaben oder Arbeitsprozessen. Es besteht aus Spalten, die verschiedene Phasen eines Arbeitsablaufs darstellen, wie z.B. "To Do", "In Bearbeitung" und "Fertig" Je nach Komplexität des Projekts können weitere Spalten ergänzt werden wie z.B. "Vorbereitung" und "Qualitätssicherung" oder "Abnahme/Freigabe". Aufgaben werden auf Karten notiert und durch die Phasen verschoben, während sie bearbeitet werden. So lässt sich der Fortschritt leicht verfolgen und der Gesamtüberblick erhalten.

Natürlich gibt es inzwischen auch zahlreiche Softwarevarianten von Kanban Boards, die mit umfangreichen Funktionen die Arbeit erleichtern und die Bearbeitung in verteilten Teams ermöglichen.

Vorteile eines Kanban-Boards:

• Übersichtlichkeit: Es bietet eine klare visuelle Darstellung aller Aufgaben und ihres aktuellen Status.
• Flexibilität: Aufgaben lassen sich einfach hinzufügen, priorisieren und umorganisieren.
• Effizienz: Engpässe werden schneller sichtbar, und der Arbeitsfluss kann besser gesteuert werden.
• Transparenz: Alle Teammitglieder sehen jederzeit, woran gearbeitet wird und was bereits erledigt ist.
• Einfache Anwendung: Im einfachsten Fall reicht ein Whiteboard und ein Block Haftnotizen oder eines von zahlreichen z. T. freien Tools.

Einfaches Vorgehen nach Kanban

Bild von Gerd Altmann auf Pixabay

1. Erstelle ein Kanban-Board: Ein Kanban-Board besteht aus Spalten, die den Arbeitsfluss darstellen. Übliche Spalten sind:

• To Do (Aufgaben, die noch erledigt werden müssen)
• In Progress (Aufgaben, an denen gerade gearbeitet wird)
• Testing oder QS (Qualitätskontrolle z.B. für Dokumente oder umgesetzte Maßnahmen)
• Done (Abgeschlossene Aufgaben)

Die Spalten sollten dem tatsächlichen Ablauf und Arbeitsschritten im Projekt entsprechen.

2. Aufgaben hinzufügen: Erstelle Karten (Tasks) für jede Aufgabe oder jedes Arbeitspaket, das erledigt werden muss. Jede Karte sollte folgende Informationen enthalten:

• Titel der Aufgabe
• Beschreibung (optional)
• Verantwortliche Person (optional)
• Fälligkeitsdatum (optional)

Die Kleinteiligkeit der Aufgaben hängt vom Projekt ab. Für <10 Aufgaben benötigt ihr kein Kanban Bord. Bei >100 Aufgaben wirds irgendwann unübersichtlich.

3. Aufgaben priorisieren: Sortiere die Karten in der „To Do“-Spalte nach Priorität. Die wichtigsten Aufgaben sollten oben stehen.

4. Arbeitsfluss steuern: Bewege die Karten durch die Spalten, wenn die Arbeit an ihnen beginnt und abgeschlossen wird. Dies gibt einen Überblick, was gerade wo passiert und was bereits fertig ist.

5. Regelmäßig aktualisieren: Aktualisiere das Board regelmäßig, um sicherzustellen, dass es den aktuellen Stand des Projekts widerspiegelt. Dies hilft, Engpässe und Verzögerungen frühzeitig zu erkennen.

6. Begrenze die Anzahl paralleler Aufgaben: Setze ein WIP-Limit (work-in-progress Limit) für kritische Spalten mit begrenzten Ressourcen, um sicherzustellen, dass nicht zu viele Aufgaben gleichzeitig bearbeitet werden und die verfügbaren Ressourcen nicht überlastet werden. So wird der Fokus auf die Fertigstellung gelegt.

Mit einem Kanban-Board behältst du stets den Überblick über den Projektfortschritt und die anstehenden Aufgaben, was zu einer effizienteren und transparenteren Projektarbeit führt.

Einführung eines ISMS als Sicherheitsprojekt

Hier als exemplarisches Beispiel ein Projekt zur initialen Einführung eines ISMS in der Organisation.

Voraussetzungen

Die Basis für eine erfolgreiche Einführung eines Informationssicherheitsmanagementsystems (ISMS) bildet das sorgfältige Prüfen und Schaffen der erforderlichen Rahmenbedingungen. Dies umfasst verschiedene Bereiche:

Strategische Grundlagen und Zieldefinition

• Organisationsstrategie und Sicherheitsziele: Es gilt, die Ziele des ISMS in Abstimmung mit der Oganisationsstrategie festzulegen. Hierzu gehört die Definition von Schutzzielen (Vertraulichkeit, Integrität, Verfügbarkeit, ggf. weiterer) und die Ableitung von konkreten, messbaren Zielsetzungen.
• Management-Commitment: Eine tragfähige Sicherheitsstrategie erfordert das klare Bekenntnis des Top-Managements, da ohne deren Unterstützung die erforderliche Ressourcenbereitstellung und die unternehmensweite Akzeptanz schwer zu erreichen sind.

Organisatorische Voraussetzungen

• Projektorganisation und Rollen: Definiere klare Verantwortlichkeiten, z. B. durch die Benennung eines ISMS-Beauftragten oder -Managers (das kann, aber muss nicht der ISB sein) sowie eines interdisziplinären Projektteams.
  • Rollenverteilung: Neben IT-Sicherheitsexperten sollten auch Vertreter aus Bereichen wie Datenschutz, Compliance, HR und Geschäftsführung eingebunden werden.
• Stakeholder-Analyse: Identifiziere alle internen und externen Stakeholder, um ihre Anforderungen und Erwartungen frühzeitig in den Projektplan einzubinden.

Rechtliche, normative und regulatorische Rahmenbedingungen

• Compliance und gesetzliche Anforderungen: Prüfe, welche gesetzlichen Vorgaben (z. B. Datenschutz-Grundverordnung, IT-Sicherheitsgesetz) und branchenspezifische Anforderungen zu berücksichtigen sind.
• Normative Standards: Berücksichtige internationale Standards (z. B. ISO 27001) und nationale Empfehlungen wie den BSI IT-Grundschutz, um das ISMS fundiert aufzubauen und ggf. später auch zertifizieren zu lassen.

Technische und organisatorische Ausgangssituation

• IST-Analyse: Führe eine Bestandsaufnahme der bestehenden IT-Infrastruktur, der aktuellen Sicherheitsmaßnahmen und Prozesse durch.
• Risikobewertung: Eine vorläufige Risikoanalyse ermöglicht die Identifikation von Schwachstellen und bildet die Grundlage für die spätere, detaillierte Risikoanalyse im Rahmen des ISMS.

Ressourcen und Budgetierung

• Finanzielle Ressourcen: Kläre das Budget für die Einführung und den Betrieb des ISMS, inklusive Kosten für externe Beratung, Schulungen und ggf. technologische Anpassungen.
• Zeitliche Planung und personelle Ressourcen: Erstelle einen realistischen Zeitplan und stelle sicher, dass ausreichend Personalressourcen (intern und ggf. extern) zur Verfügung stehen.

Kickoff

Der Kickoff markiert den offiziellen Projektstart und dient der Schaffung eines gemeinsamen Verständnisses über Ziele, Vorgehensweise und Verantwortlichkeiten.

Zielsetzung und Agenda

• Projektziel definieren: Formuliere das übergeordnete Ziel, z. B. „Einführung eines nachhaltigen und zertifizierbaren ISMS, das die Unternehmenssicherheit kontinuierlich verbessert“.
• Agenda festlegen: Der Kickoff sollte Themen wie Projektumfang, Zeitplan, Meilensteine, Kommunikationswege und Erfolgskriterien umfassen.

Vorstellung des Projektteams und Rollenverteilung

• Teampräsentation: Stelle alle Teammitglieder vor und erläutere deren spezifische Verantwortungsbereiche (z. B. Projektleitung, technische Umsetzung, Dokumentation, interne Kommunikation).
• Kommunikationsstruktur: Definiere, wie die interne Kommunikation (regelmäßige Meetings, Statusberichte) und die Abstimmung mit externen Stakeholdern erfolgen soll.

Methodik und Vorgehensweise

• Projektmanagement-Ansatz: Erkläre den gewählten methodischen Ansatz, z. B. den PDCA-Zyklus (Plan-Do-Check-Act) zur kontinuierlichen Verbesserung sowie den Einsatz von Werkzeugen wie Kanban-Boards für die Aufgabenverwaltung.
• Projektdokumentation: Lege fest, welche Dokumentationsstandards (z. B. IT-Grundschutz-Dokumentation, ISMS-Handbuch) und Tools genutzt werden, um Transparenz und Nachvollziehbarkeit sicherzustellen.

Zeitplan und erste Meilensteine

• Projektphasen und Termine: Stelle einen groben Zeitplan vor, der die wesentlichen Phasen (IST-Analyse, Konzeptentwicklung, Umsetzung, Audit) und erste Review-Termine beinhaltet.
• Erfolgskriterien: Vereinbare konkrete Kriterien, an denen der Fortschritt und die Qualität der Maßnahmen gemessen werden.

Erwartungshaltung und Risikomanagement

• Erwartungen klären: Diskutiere mit dem Projektteam und den Stakeholdern, welche Ergebnisse erwartet werden und wie der Erfolg des Projekts bewertet wird.
• Risikomanagement: Lege erste Maßnahmen zur Identifikation und Steuerung von Projektrisiken fest. Hierzu gehört auch die Definition eines Eskalationsprozesses.

Meilensteine

Die Festlegung von Meilensteinen dient der schrittweisen Steuerung und Kontrolle des Projekts. Sie ermöglichen es, den Fortschritt zu überwachen und frühzeitig auf Abweichungen zu reagieren. Für die Einführung eines ISMS könnten z.B. folgende Meilensteine sinnvoll sein:

Projektinitialisierung

• Abschluss der Vorbereitungsphase: Nach der Erfüllung aller Voraussetzungen und der Genehmigung durch das Management startet das Projekt offiziell.
• Kickoff-Meeting: Der Kickoff dient als Startsignal, bei dem der Projektplan, die Rollen und die Kommunikationswege final abgestimmt werden.

Durchführung der IST-Analyse und Risikoanalyse

• Bestandsaufnahme: Erfassung der bestehenden IT-Infrastruktur, Prozesse und Sicherheitsmaßnahmen.
• Risikoidentifikation: Systematische Analyse, um potentielle Bedrohungen und Schwachstellen zu identifizieren.
• Ergebnisdokumentation: Zusammenfassung der Analyseergebnisse, die als Grundlage für die weitere Konzeptentwicklung dienen.

Erstellung und Freigabe des ISMS-Konzeptes

• Konzeptentwicklung: Basierend auf den Ergebnissen der IST- und Risikoanalyse wird ein detailliertes Sicherheitskonzept erarbeitet, das Maßnahmen zur Risikominimierung enthält.
• Managementfreigabe: Das Konzept wird dem Management zur Prüfung und Freigabe vorgelegt. Dies stellt sicher, dass alle strategischen und operativen Aspekte berücksichtigt wurden.

Umsetzung der definierten Maßnahmen

• Maßnahmenimplementierung: Durchführung der im Konzept festgelegten technischen und organisatorischen Maßnahmen. Dies kann die Einführung neuer Technologien, Anpassungen von Prozessen sowie Schulungen der Mitarbeiter umfassen.
• Zwischenreviews: Regelmäßige Überprüfung des Umsetzungsfortschritts mittels interner Audits und Statusmeetings.

Interne Audits und Management-Review

• Auditierung: Durchführung interner Audits, um die Wirksamkeit des ISMS und die Einhaltung der festgelegten Prozesse zu überprüfen.
• Management-Review: Zusammenfassung der Auditergebnisse im Rahmen von Reviews, bei denen das Management den Fortschritt bewertet und ggf. Korrekturmaßnahmen beschließt.

Externe Zertifizierung (optional)

• Vorbereitung der Zertifizierung: Falls angestrebt, wird das ISMS so vorbereitet, dass es den Anforderungen externer Zertifizierungsstellen (z. B. ISO 27001, BSI IT-Grundschutz) entspricht.
• Zertifizierungsprozess: Durchführung eines externen Audits zur formalen Bestätigung der ISMS-Konformität.

Projektabschluss und Etablierung des kontinuierlichen Verbesserungsprozesses

• Abschlussbericht und Lessons Learned: Dokumentation der Projektergebnisse, Erfahrungen und Verbesserungsvorschläge, um den Projektverlauf für zukünftige Vorhaben nutzbar zu machen.
• Etablierung des PDCA-Zyklus: Das ISMS wird als lebendiger Prozess etabliert, der regelmäßig überprüft und optimiert wird. Die kontinuierliche Verbesserung stellt sicher, dass das Sicherheitsniveau auch langfristig den sich ändernden Anforderungen entspricht.

Weitere Beispiele

MindMap für die Einführung eines ISMS nach IT-Grundschutz