Virtueller CISO · Richtlinien und Dokumentation
Richtlinien, die beschreiben, wie Ihr Unternehmen wirklich arbeitet
Die meisten Organisationen, die ein Richtlinienwerk brauchen, haben bereits eines: gekauft, heruntergeladen oder geerbt, es beschreibt ein Unternehmen, das nicht ganz ihres ist, niemand hat es freigegeben und niemand hat es gelesen. Das zu ersetzen ist keine Schreibarbeit. Dafür müssen wir verstehen, wie Ihre Organisation tatsächlich arbeitet, und dies in einer Form dokumentieren, die ein Auditor nachvollziehen kann.
Ein Masterdokument, die Richtlinien darunter und die Nachweise, dass es läuft
Keine einzige riesige Datei und auch nicht vierzig unverbundene. Vier Ebenen, jede mit einer eigenen Aufgabe, die die anderen ergänzt.
- 01
Die Informationssicherheitsleitlinie
Neun nummerierte Abschnitte auf Grundlage der Struktur von ISO/IEC 27001:2022 — Geltungsbereich, Rollen und wer sie innehat, der Risikoansatz, die Maßnahmen und wie das Ganze überprüft wird. Danach fragen Aufsicht und Zertifizierungsauditor zuerst, und alles andere hängt daran.
- 02
Fachrichtlinien
Zugriffssteuerung, Datensicherung, Lieferantenmanagement, Incident-Behandlung, mobiles Arbeiten, Asset-Management und die übrigen, je eine pro Bereich. Jede sagt, was die Organisation verlangt, für wen sie gilt und welche Maßnahmen sie erfüllt — so ist sie für das Team, das sie befolgen muss, für sich allein lesbar.
- 03
Verfahren und Standardarbeitsanweisungen
Die Schritt-für-Schritt-Ebene: wie ein neuer Mitarbeiter Zugriff erhält, wie eine Rücksicherung getestet wird, wie ein Vorfall eskaliert wird und an wen. Einmal geschrieben und überall dort wiederverwendet, wo derselbe Schritt vorkommt, sodass eine Prozessänderung an einer Stelle ankommt.
- 04
Register und Nachweise
Asset-Register, Lieferantenregister, Risikoregister, Schulungsnachweise und das Freigabeprotokoll. Eine Richtlinie, zu der niemand zeigen kann, dass sie wirkt, ist ein Dokument; eine Richtlinie mit ihren Nachweisen daneben ist ein Beleg.
Aus Ihren Antworten geschrieben, nicht aus einem Vorlagenordner
Das Ausgangsmaterial ist die bereits geleistete Arbeit: die Antworten aus der Bewertung, die Notizen aus den Workshops, die Werkzeuge, die Sie uns genannt haben, die offenen und die geschlossenen Aufgaben. Eine daraus geschriebene Richtlinie beschreibt eine Organisation, die es gibt. Eine aus einer Vorlage geschriebene beschreibt eine Mischung aus allen — und deshalb lautet die erste Frage eines Auditors dazu, ob ihr überhaupt jemand folgt.
Die Richtlinien, die wir erzeugen, können in Fußnoten die Maßnahmen tragen, die sie erfüllen, in jedem Rahmenwerk, das danach fragt — das ist eine Option bei der Erstellung des Dokuments, und wir schalten sie ein. Das macht ein Dokument im Audit brauchbar statt nur vorhanden: Der Auditor liest eine Anforderung, und die Fußnote sagt, welcher Absatz welcher Richtlinie sie beantwortet und welche Aufgaben sie umsetzen.
Eine Richtlinie, deren Stand der Arbeit dahinter folgt
Jede Richtlinie hängt an den Aufgaben, die sie umsetzen. Solange die offen sind, zeigt sich die Richtlinie als unvollständig, und sie sagt auch, wie unvollständig — was unangenehm und richtig ist. Die Alternative ist die übliche: ein im März fertiggestelltes, im April freigegebenes Dokumentenwerk, das eine Organisation beschreibt, die es seit Juni nicht mehr gibt.
Ändert sich die Arbeit, werden die betroffenen Dokumente markiert statt still zurückzubleiben, und die Überprüfung findet zu einem festgelegten Termin statt und nicht dann, wenn sich jemand erinnert. Die Überprüfung ist der Teil, den jedes Richtlinienwerk im eigenen letzten Abschnitt verspricht und fast keines einhält.
Das Dokument, das Ihre Leute lesen, und das, das Ihr Auditor liest
Entwurf und Übersetzung laufen im selben Arbeitsgang statt als nachgelagertes Projekt, sodass die deutsche, englische und ungarische Fassung einer Richtlinie dieselbe Richtlinie bleiben. Das wiegt schwerer, als es klingt: Ein auseinandergelaufenes Richtlinienwerk sind zwei Anforderungssätze, und befolgt wird der, der im Intranet steht.
Die Prüfung ist eine menschliche. Ein grammatisch einwandfreier, juristisch falscher Satz ist schlimmer als ein holpriger, deshalb hat die Fassung, die zur Freigabe geht, jemand gelesen, der die Sprache und die Pflicht kennt.
Drei Dinge, die das Portal verweigert, und Sie sollten sie jetzt wissen
Das sind keine vorsorglichen Einschränkungen. Das sind die Gründe, warum das Ergebnis verantwortbar freigegeben werden kann.
- Es erfindet keine Maßnahme. Verlangt ein Rahmenwerk etwas, wofür die Organisation nichts beantwortet hat, lässt der Entwurf die Lücke sichtbar, statt einen plausiblen Satz darüberzuschreiben.
- Es erfindet keine Fundstelle. Eine Fußnote, die auf eine Klausel zeigt, die nicht das sagt, was die Fußnote behauptet, ist der schnellste Weg, das Vertrauen eines Auditors zu verlieren, und einmal entdeckt gibt es keinen Weg zurück.
- Es erklärt Sie nicht für konform, und wir tun es auch nicht. Ein Dokumentenwerk ist ein Beleg, den man jemandem vorlegt, dessen Aufgabe die Entscheidung ist: Ihrer Zertifizierungsstelle, Ihrer Aufsicht oder dem Kunden mit dem Fragebogen.
Wo nur Sie eine Angabe liefern können — die freigebende Person, die Dokumentennummer, das Datum einer Gremiensitzung —, trägt der Entwurf einen markierten Platzhalter statt einer Vermutung. Ein nicht ausgefüllter Platzhalter ist ein offensichtlicher Mangel. Ein selbstbewusst falsches Datum nicht.
Wer unterschreibt, wo es liegt, und womit Sie am Ende dastehen
Eine Richtlinie wird zur Richtlinie, wenn jemand mit der Befugnis dazu sie freigibt, und die Freigabe wird mit Datum und Version festgehalten. Bis dahin ist sie ein Entwurf, und Ihr Portal sagt das auch. Unsere Aufgabe ist, das Dokument zu erstellen und derjenige zu sein, der Fragen dazu beantwortet; die Unterschrift ist Ihre, weil die Verantwortung es ist.
Alles liegt in Ihrem eigenen Dokumentenbereich, lässt sich nach DOCX exportieren für den Freigabelauf, den Ihre Organisation ohnehin fährt, und gehört Ihnen jederzeit und kostenlos — während der Zusammenarbeit und an dem Tag, an dem Sie gehen. Ein Richtlinienwerk, das Sie nicht aus dem System eines Dienstleisters herausbekommen, ist ein gemietetes.
Häufig gestellte Fragen
Die Fragen, die uns Sicherheits- und IT-Verantwortliche am häufigsten stellen.
Ihre Frage ist nicht dabei? Fragen Sie uns direkt
Ja, uneingeschränkt. Alles, was wir für Sie entwerfen, gehört Ihnen: Es liegt in Ihrem eigenen Dokumentenbereich, lässt sich jederzeit nach DOCX exportieren, und Sie können das gesamte Werk jederzeit und kostenlos mitnehmen — während der Zusammenarbeit und an dem Tag, an dem Sie sie beenden. Es gibt keine Variante, in der das Gehen Sie Ihr Richtlinienwerk kostet, denn ein Dokumentenwerk, das Sie nicht aus dem System eines Dienstleisters herausbekommen, ist gemietet und nicht Ihres.
Ja, und wo sie wirklich Ihre sind, ist das die bessere Option — eine Richtlinie, die Ihre Leute wiedererkennen, wird deutlich eher befolgt als eine neue. Was wir Ihnen ehrlich sagen, ist, wann es sich nicht lohnt. Handelt es sich um ein gekauftes, nie angepasstes Vorlagenwerk, kostet dessen Überarbeitung mehr, als aus Ihren eigenen Antworten zu beginnen, und ergibt ein schlechteres Dokument, weil die Struktur um eine fremde Organisation herum gebaut ist. Welcher Fall vorliegt, sagen wir nach dem Lesen, nicht davor.
Jemand in Ihrer Organisation mit der Befugnis, die Richtlinien verbindlich in Kraft zu setzen — meist die Leitung, manchmal ein delegierter Verantwortlicher je Bereich. Wir können es nicht sein, und das ist keine Formalie: Eine Richtlinie ist die Festlegung dessen, was Ihre Organisation von den eigenen Leuten verlangt, und diese Festlegung kann ein Externer nicht an Ihrer Stelle treffen. Wir entwerfen, wir beantworten Fragen dazu, wir sitzen in der Freigabesitzung, wenn das hilft. Unterschrift und Verantwortung bleiben bei Ihnen.
Wo Sie in der Methode stehen und wie es weitergeht
Rahmenwerk-Zuordnung
Eine Kontrollanforderung einmal bewerten und das Ergebnis für alle zugeordneten Rahmenwerke berücksichtigen.
Risikoentscheidungen
Was behoben wird, was akzeptiert wird, und wessen Name an der Entscheidung steht.
Der Arbeitsplan
Datierte Aufgaben mit benannten Verantwortlichen und dem Nachweis, den jede hinterlässt.
Bereit anzufangen?
Arbeiten Sie mit Spirity Enterprise zusammen, um die passenden Sicherheits- und IT-Lösungen für Ihr Unternehmen umzusetzen.