16.1.2 Meldung von Informationssicherheitsereignissen

16.1.2.1 Zeitplan

Jegliche Sicherheitsverletzungen müssen unverzüglich gemeldet werden, sobald sie erkannt werden, und innerhalb von 24 Stunden nach der Entdeckung vollständig gemeldet werden.

16.1.2.2 Meldeverfahren

Mitarbeiter, die eine Sicherheitsverletzung bemerken, müssen den Vorfall unverzüglich an den IT-Sicherheitsbeauftragten oder an die Geschäftsleitung melden. Danach ist immer ein Ticket im Azure DevOps Board vom Typ IT-Sicherheitsmeldung zu erstellen, um frühzeitig das Problem und alle weiteren Schritte zu dokumentieren und als Information an alle benötigten Stellen weitergeben zu können.

16.1.2.3 Kontaktstelle

Die IT-Sicherheitsabteilung ist die Hauptkontaktstelle für alle Sicherheitsverletzungen. In Abwesenheit der IT-Sicherheitsabteilung müssen Sicherheitsverletzungen auch an die Geschäftsleitung gemeldet werden.

Weitere Informationen Alle Mitarbeiterinnen müssen über diese Richtlinie und das Meldeverfahren informiert sein, um sicherzustellen, dass Sicherheitsvorfälle und -verletzungen schnell und effektiv behandelt werden können. Sollten Änderungen oder Anpassungen an dieser Richtlinie nötig sein, muss diese als Aktualisierung an die Mitarbeiterinnen kommuniziert werden.

16.1.2.4 Kommunikationsplan

Ein Kommunikationsplan ist ein wichtiger Teil eines umfassenden Plans zur Behandlung von Sicherheitsverletzungen. Ein gut durchdachter und umfassender Kommunikationsplan ist entscheidend, um sicherzustellen, dass alle relevanten Parteien schnell und effektiv informiert werden und dass die Reaktion auf eine Sicherheitsverletzung koordiniert und effektiv ist. Ein effektiver Kommunikationsplan sollte die folgenden Elemente enthalten:

• Zielgruppen: Definieren Sie die Zielgruppen, die über die Sicherheitsverletzung informiert werden müssen. Dies muss immer die IT-Sicherheitsabteilung enthalten. Zusätzlich sind auch weitere interne Stakeholder wie IT-Teams, das Management und die Personalabteilung sowie externe Stakeholder wie Kunden, Partner und Behörden umfassen.

• Kanäle: Legen Sie die Kanäle fest, über die Sie die verschiedenen Zielgruppen informieren werden. Dies muss immer zunächst ein Ticket im Azure DevOps Board der IT-Sicherheit sein. Können die notwendigen Personen hier nicht zeitnah erreicht werden, können weitere Wege aufgenommen werden wie eine Kombination aus E-Mails, Telefonanrufen, Social-Media-Posts, Pressemitteilungen und Website-Benachrichtigungen. Die alternative Kontaktaufnahme ist im Ticket zu dokumentieren.

• Inhalte: Definieren Sie die Art und Weise, wie Sie die Informationen über die Sicherheitsverletzung kommunizieren werden. Dies kann je nach Zielgruppe variieren. Sie sollten jedoch sicherstellen, dass Sie alle relevanten Details zur Verletzung, einschließlich des Umfangs, der Ursache, der Auswirkungen und der Maßnahmen, die ergriffen werden, um den Vorfall zu beheben, bereitstellen. Das Ergebnis ist auch im Ticket zu hinterlegen.

• Verantwortlichkeiten: Weisen Sie Verantwortlichkeiten zu, um sicherzustellen, dass die Informationen an die richtigen Personen weitergeleitet werden. Definieren Sie auch die Verantwortlichkeiten für die Erstellung von Inhalten, die Überwachung von Reaktionen und die Koordination von Follow-up-Aktionen. Das Ergebnis ist auch im Ticket zu hinterlegen.

• Zeitplan: Definieren Sie einen klaren Zeitplan für die Veröffentlichung von Informationen und den Austausch von Updates. Planen Sie regelmäßige Meetings ein, um sicherzustellen, dass alle Beteiligten auf dem neuesten Stand sind. Das Ergebnis ist auch im Ticket zu hinterlegen.