Mehr als 8 Jahre in IT-Sicherheit und IT-Governance. Zertifiziert in den Softwarekomponenten: Cyberark, SAP, IBMZertifiziert in den Methoden: ISTQB, Cobit, ISO27001, BSI, IREB, ITILv4, Prince2

Als Erstes werde ich mir einen Überblick zum derzeitigen Stand des Projektes verschaffen und dieses verschriftlichen. Hierbei sollte der Fokus auf den Ist- und den Soll-Zustand gelegt werden, um daraus die Roadmap abzuleiten. 

Ja, eine Analyse zum Ist-Zustand ist jederzeit möglich. Dieses setzt aber eine Beauftragung voraus. Eine Analyse muss sich hierbei auf ein konkretes Ziel beziehen. Zum Beispiel: Erfüllen wir alle Voraussetzungen für ein Audit oder können wir mit dem derzeitigen Dokumentationsstand ein ISMS aufbauen.

Schwerpunkt bildet hier die Einführung eines ISMS, welches die Grundlage bildet für die IT-Sicherheit. Daran schließen sich selbstverständlich weitere Themenfelder wie z.B: Zugangsmanagement oder auch regulatorischen Vorgaben aus den verschiedenen Branchen (z.B. Banken und Versicherungen)

Das kommt auf Ihre Ausgangslage an. In den meisten Fällen führen die Unternehmen ein ISMS nach ISO27001 ein. Das ist derzeit der Branchenstandard und wird auch am häufigsten umgesetzt. BSI Standard ist meistens in öffentlichen Sektoren verortet oder auch bei kritischen Infrastrukturen. 

Je nach Branche müssen viele regulatorische Vorgaben beachtet werden. z.B. die BAIT oder auch die MaRisk. Aber auch die neue Richtlinie NIS2 oder DORA müssen von vielen Unternehmen umgesetzt werden. - Hier gilt es schnell zu sein, denn die Umsetzung der regulatorischen Vorgaben werden von den Behörden geprüft und müssen in einem engen zeitlichen Fenster umgesetzt werden. 

Derzeit ist der Trend klar zu immer besseren Phishing-Attacken auf dem Markt zu sehen. Zum Beispiel sind E-Mails so täuschend echt, dass der Empfänger den Unterschied zum Original nicht mehr erfassen oder verstehen kann. Des Weiteren sind vor allem besondere Branchen stärker betroffen als andere, zum Beispiel Finanzindustrie oder auch Betreiber von kritischen Infrastrukturen.

Nein. IT-Security ist mehr in die Richtung Abwehrmaßnahmen in Form von Software und IT-Sicherheit bezieht sich mehr auf die organisatorische Sicherheit für Unternehmen. Ein ISMS braucht zum Beispiel keine Software zur Einführung. Ein IT-Security Framework wie zum Beispiel ein SOC (Security Operation Center) wird meist durch eine Software umgesetzt, welche Auffälligkeiten in einem Unternehmen findet und dieses meldet. 

Das hängt vom Zielbild ab. Die meisten Kunden verwenden ein Risikoanalyse-Tool, um z.B. geschäftskritische Prozesse zu identifizieren. Aber eine Voraussetzung für die IT-Sicherheit ist es nicht. 

Definitiv schnell die TOP 10 Maßnahmen zur IT-Sicherheit des BSI (Bundesamt für Sicherheit in der Informationstechnik) umsetzen.