Informationssicherheitsmanagement – IT-Risk Manager & IT-Risikomanagement (ISO 31000, ISO 27001 und ISO 27005)

Im digitalen Zeitalter sind Informationen für Unternehmen ein entscheidender Wert. Fehlende, verfälschte oder nicht vertrauliche Daten können erheblichen Schaden verursachen.

Dennoch wird das Management dieser Risiken in vielen Organisationen trotz zunehmender Cyberkriminalität und gesetzlicher Vorgaben oft vernachlässigt.

Standards und Normen der Informations- und IT-Sicherheit fordern jedoch ein strukturiertes Risikomanagement. Die Einführung eines Risikomanagements für Informationssicherheit ist daher eine unverzichtbare Grundlage für Unternehmen.

Sie erhalten ein ausführliches Manuskript beziehungsweise eine Aufzeichnung zum Kurs sowie viele Übungen und Fallstudien, die im Kurs bearbeitet und besprochen werden. Best Practices runden das Seminar ab.

Hinweis: Diesen Kurs führen wir in der Regel in Zusammenarbeit mit der CBT Training & Consulting GmbH durch. Die Prüfungsgebühr ist nicht im Kurspreis enthalten.

Einführung

• Was ist Risiko?
• Abgrenzung zu „Chance“
• Risiken im alltäglichen Leben
• Risiken und Chancen bei der unternehmerischen Tätigkeit: Prozesse, Informationen und unterstützende Werte
• Abgrenzung von Informationssicherheit und IT-Sicherheit: IS-Risiken und IT-Risiken

Grundlagen Risikomanagement/Risk Management

• Was ist Risikomanagement?
• Definition des Begriffs „Risiko“
• Ziele des Risikomanagements
• Risikomodell und Risikofaktoren
• Risikoorganisation, Rollen und Verantwortlichkeiten sowie Governance-Aspekte

Anforderungen an Informationssicherheits-/IT-Risikomanagement aus betrieblicher Sicht

• Gesetzliche und regulatorische Vorgaben
• Risikomanagement als Kern eines Managementsystems nach ISO-Managementsystemstandards

Der Risikomanagement-Prozess

• Normen und Standards für Risikomanagement allgemein: ISO 31000 und ONR 49000
• Normen und Standards für Informationssicherheits- und IT-Risikomanagement: ISO 27001, ISO 27005, BSI 200-3, COBIT und ITIL
• Der Risikomanagement-Prozess nach ISO 31000 und ISO 27005

Der wirtschaftliche Aspekt des Informationssicherheits-/IT-Risikomanagements

• Quantitative versus qualitative Aussagen
• ROSI: Return on Security Investment
• Kosten-/Nutzen-Betrachtungen

Der Informationssicherheits-/IT-Risikomanagement-Prozess in der Praxis

• Risikomanagement im Lifecycle von Informationen, Systemen und Applikationen
• Methoden und Werkzeuge
• Durchführung eines Risk-Assessments anhand einer Beispiel-Firma

Informationssicherheits-/IT-Risikomanagement im Unternehmen: Schnittstellen zu anderen Bereichen

• Enterprise Risk Management: unternehmensweites Risikomanagement
• IT-Notfallplanung
• Business Continuity Management: Geschäftsfortführung
• Datenschutz
• Projektmanagement
• Einkauf

Informationssicherheits-/IT-Risikomanagement in spezifischen Anwendungsfällen

• Outsourcing-Projekte
• Cloud-Nutzung
• Cyber-Risiken

Zusammenfassung der Schulung, Besprechung der noch offenen Fragen, Prüfung (optional)

Sie lernen, Risiken der Informationssicherheit und IT-Risiken strukturiert zu bewerten und den Risikomanagement-Prozess nach ISO 31000 und ISO 27005 einzuordnen. Dabei behandeln Sie Methoden, Werkzeuge sowie die Durchführung eines Risk-Assessments anhand einer Beispiel-Firma.

• Risikomanagerinnen und Risikomanager

Risikomanagerinnen und Risikomanager befassen sich mit der Identifizierung, Analyse und Bewertung von Risiken in einem Unternehmen oder einer Organisation. Ziel ist es, diese Risiken zu minimieren und zu kontrollieren, um potenzielle Schäden oder Verluste zu vermeiden.

Kenntnisse der Informationssicherheit nach ISO 27001, alternativ nach BSI-Grundschutz oder einer anderen vergleichbaren Norm, oder allgemeine Kenntnisse im Risikomanagement nach ISO 31000.

Folgende Seminare können als Grundlage für diesen Kurs genutzt werden:

• ISO/IEC 27001 Lead Implementer & Lead Auditor
• ISO/IEC 27001 Foundation und ISMS Implementierung
• IT-Grundschutz-Praktiker (BSI)