Informationssicherheit ist der übergeordnete Begriff für den Schutz von Informationen jeder Art – unabhängig davon, ob diese in digitaler Form, auf Papier oder in den Köpfen von Mitarbeitern vorliegen. Während IT-Sicherheit sich primär auf technische Systeme konzentriert, umfasst Informationssicherheit zusätzlich organisatorische, physische und personelle Schutzmaßnahmen: die verschlossene Serverraum-Tür, die Schulung von Mitarbeitern zu Phishing, die Vernichtungsrichtlinie für Papierausdrucke.
Das international anerkannte Managementsystem für Informationssicherheit ist die ISO 27001, die einen strukturierten Rahmen aus Richtlinien, Prozessen und Kontrollen definiert. Eine ISO-27001-Zertifizierung ist für viele Unternehmen ein Qualitätssignal und in regulierten Branchen oder bei Unternehmenskunden oft eine Zugangsvoraussetzung – insbesondere für Automationsdienstleister, die sensible Kundendaten verarbeiten.
IT-Sicherheit vs. Informationssicherheit
IT-Sicherheit
- Fokus: technische Systeme
- Firewalls, Verschlüsselung, Patches
- Digitale Daten und Systeme
- IT-Abteilung verantwortlich
- Teilmenge von InfoSec
Informationssicherheit
- Fokus: alle Informationen
- Richtlinien, Schulungen, Prozesse
- Digital + physisch + personell
- Gesamte Organisation verantwortlich
- Oberbegriff, umschließt IT-Sicherheit
Informationssicherheit in der Automatisierungspraxis
- Sicherheitsrichtlinien für Workflows: Klare Regeln, welche Daten automatisiert verarbeitet werden dürfen, welche Schnittstellen genutzt werden können und welche Sicherheitsstandards Konnektoren erfüllen müssen
- Mitarbeiterschulung: Phishing-Awareness, Social Engineering, sichere Passwortverwaltung – der Mensch bleibt das schwächste Glied in der Sicherheitskette
- Lieferantenmanagement: Sicherheitsanforderungen an externe Dienstleister und SaaS-Anbieter prüfen und vertraglich sichern – ISO 27001 als Mindeststandard
- Business Continuity: Was passiert, wenn Automatisierungssysteme ausfallen? Notfallprozesse für manuelle Überbrückung definieren und regelmäßig proben
Praxisbeispiel
Ein Automationsdienstleister strebt eine ISO-27001-Zertifizierung an, um Unternehmenskunden zu gewinnen, die diese als Voraussetzung fordern. Kernmaßnahmen im Rahmen des ISMS-Aufbaus: Risikoregister aller Informationswerte erstellt (welche Daten, welche Systeme, welche Bedrohungen). Sicherheitsrichtlinien für alle relevanten Bereiche dokumentiert (Zugriffsrechte, Passwortrichtlinie, Incident Response, Lieferantenbewertung). Regelmäßige interne Audits eingeführt. Awareness-Schulungen für alle Mitarbeiter (inkl. Phishing-Simulationen). Physische Sicherheit des Büros geprüft (Serverraum-Zugang, Clean-Desk-Policy). Zertifizierungsaudit bestanden nach 9 Monaten Vorbereitungszeit. Ergebnis: 4 Unternehmenskunden gewonnen, die ISO 27001 explizit als Anforderung hatten.
