+GC.5.1 Festlegung von Zielen für die Informationssicherheit
---+GC.5.1.1 Festlegung einer Sicherheitsstrategie
---+GC.5.1.2 Verpflichtung der Institutionsleitung
---+GC.5.1.3 Erstellung einer Sicherheitsleitlinie
---+GC.5.1.4 Freigabe der Sicherheitsleitlinie

GC.5.1 Festlegung von Zielen für die Informationssicherheit

Governance und Compliance MUSS konkrete und messbare Ziele für die Informationssicherheit auf Basis der identifizierten Rahmenbedingungen festlegen.

Erläuterung

Die Ziele sollten Bezug zu den Geschäftszielen der Institution aufweisen und müssen messbar und konkret sein, z. B.: 98% der aktiven Endgeräte im Netzwerk der Institution verfügen über eine aktuelle Antivirensoftware, deren Signaturdatenbank nicht älter als 24 Stunden ist. Die Ziele sollten die Anforderungen der interessierten Parteien sowie den Kontext berücksichtigen.

1. Übersicht

GC.5.1.1 Festlegung einer Sicherheitsstrategie

Governance und Compliance MUSS eine grundlegende Strategie zur Erreichung der Ziele für die Informationssicherheit gemeinsam mit der Institutionsleitung festlegen.

Erläuterung

Die Sicherheitsstrategie legt fest, wie die Organisation die Ziele erreichen möchte und fokussiert inbesondere den übergeordneten Ansatz und die Prinzipien.
GC.5.1.2 Verpflichtung der Institutionsleitung

Governance und Compliance MUSS die Verpflichtung der Institutionsleitung zuweisen.

Erläuterung

Die Verpflichtung der Institutionsleitung beinhaltet die Übernahme der Gesamtverantwortung, die Bestätigung und Überwachung der Informationssicherheitsziele bezüglich der Organisationsziele und die Förderung des ISMS. Die Förderung des ISMS erfolgt durch Beteiligung (z. B. Führungsentscheidungen), Bestätigung der Informationssicherheitsorganisation, Unterstützung der Integration des ISMS, Bereitstellung von Ressourcen (z. B. finanzielle, personelle, technische, infrastrukturelle) und die Unterstützung der kontinuierlichen Verbesserung.
GC.5.1.3 Erstellung einer Sicherheitsleitlinie

Governance und Compliance MUSS eine für die Institution passende Sicherheitsleitlinie festlegen.

Erläuterung

Die Sicherheitsleitlinie dient als zentrale Weisung und als Orientierung für alle sicherheitsrelevanten Entscheidungen und Aktivitäten und fördert ein gemeinsames Verständnis der Bedeutung und Ausrichtung der Informationssicherheit. Die Leitlinie für Informationssicherheit enthält insbesondere die Gesamtverantwortung und Verpflichtung der Institutionsleitung, Informationssicherheitsziele, eine Informationssicherheitsstrategie, die Benennung der Rollen und Zuständigkeiten sowie die Verpflichtung zur kontinuierlichen Verbesserung.
GC.5.1.4 Freigabe der Sicherheitsleitlinie

Governance und Compliance MUSS die festgelegte Sicherheitsleitlinie durch die Institutionsleitung autorisieren.

Erläuterung

Diese Autorisierung muss dokumentiert werden.

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

Anforderungen

3. Zugehörige Regulierungen

Regulierungen