Richtlinien und Verfahren

Richtlinien und Verfahren machen aus nicht dokumentiertem Erfahrungswissen eine wiederholbare und durchsetzbare Praxis. Sie legen erwartetes Verhalten fest, weisen Verantwortlichkeiten zu und liefern die Nachweise, die Prüfer benötigen.

Wenn etwas nicht schriftlich festgehalten ist, kann es weder konsequent durchgesetzt noch nachgewiesen werden.

Sicherheitsdokumentation ist hierarchisch aufgebaut:

• Richtlinie: übergeordnete Absichten und Regeln (das Was und Warum).
• Standard: konkrete verbindliche Anforderungen.
• Verfahren: schrittweise Anleitung.
• Leitlinie: empfohlene bewährte Vorgehensweise (optional).

Halten Sie den Unterschied klar fest:

• Eine Richtlinie legt eine Regel fest: Passwörter müssen mindestens 12 Zeichen lang sein.
• Ein Verfahren erklärt, wie das umgesetzt wird: die genauen Schritte zum Festlegen der Passwortrichtlinie im Identity Provider.

Richtlinien bleiben stabil; Verfahren ändern sich, wenn sich die Tools ändern.

Die meisten Programme umfassen:

• Richtlinie zur akzeptablen Nutzung.
• Richtlinie zur Zugriffskontrolle und Identität.
• Datenklassifizierung und Datenverarbeitung.
• Richtlinie zur Reaktion auf Sicherheitsvorfälle.
• Geschäftskontinuität und Notfallwiederherstellung.

Die AUP legt fest, was Benutzer mit den Systemen und Daten des Unternehmens tun dürfen und was nicht. Sie umfasst E-Mail, Internet, Geräte und die Folgen von Verstößen und wird bei der Einarbeitung in der Regel bestätigt.

Eine Richtlinie zur Zugriffskontrolle verankert das Prinzip der geringsten Berechtigungen und regelmäßige Überprüfungen.

• Wie Zugriffe beantragt und genehmigt werden.
• Rollendefinitionen und Funktionstrennung.
• Wie häufig Zugriffe überprüft und entzogen werden, beispielsweise beim Ausscheiden aus dem Unternehmen.

Diese Richtlinie legt fest, wie die Organisation Sicherheitsvorfälle erkennt, meldet und bearbeitet. Sie benennt Rollen, Eskalationswege und Kommunikationsregeln, damit ein Krisenfall nach einem Plan und nicht improvisiert abläuft.

Jede Richtlinie benötigt einen Verantwortlichen, der für ihre Aktualität zuständig ist, sowie klar zugewiesene Verantwortlichkeiten. Ohne Verantwortliche veralten Dokumente und verlieren ihre Verbindlichkeit.

• Der Verantwortliche genehmigt und pflegt das Dokument.
• Die Beteiligten setzen es um und befolgen es.

Dokumente müssen formal genehmigt und versioniert werden.

• Halten Sie Autor, genehmigende Person, Genehmigungsdatum und Versionsnummer fest.
• Verfolgen Sie Änderungen, damit Prüfer den Verlauf nachvollziehen können.
• Legen Sie einen Prüfzyklus fest, üblicherweise jährlich.

Eine Richtlinie, die niemand liest, ist wertlos. Verteilen Sie die Dokumente, schulen Sie die Mitarbeitenden und sammeln Sie Bestätigungen. Bewusstsein macht aus schriftlichen Regeln tatsächliches Verhalten und liefert einen Nachweis für ihre Durchsetzung.

Richtlinien müssen Konsequenzen haben. Legen Sie Folgen für Verstöße fest und unterstützen Sie diese, wo möglich, durch technische Kontrollen, beispielsweise indem Sie den Passwortstandard im IdP und nicht nur auf dem Papier durchsetzen. Eine konsequente Durchsetzung hält die Richtlinie glaubwürdig.

Unterscheiden Sie eine Richtlinie von einem Verfahren.

Dokumentation macht Sicherheit wiederholbar und nachweisbar:

• Verwenden Sie die Hierarchie aus Richtlinie, Standard, Verfahren und Leitlinie.
• Richtlinien legen Regeln fest; Verfahren beschreiben die Schritte.
• Weisen Sie Verantwortliche zu, genehmigen und versionieren Sie Dokumente und überprüfen Sie sie regelmäßig.
• Kommunizieren, schulen und setzen Sie die Inhalte durch, damit Dokumente wirksam werden.