Von Business Continuity zu Cyber-Kriminalität

Idealerweise wird Business Continuity Management (BCM) auf der Basis eines anerkannten Standards wie z.B. ISO 22301 implementiert. Der (neue) BCM-Standard folgt dem bekannten Demming-Cycle resp. den aktuellen Begriffen in den neuen ISO-Normen 9000, 20000, 27001 oder 14000: Planning (statt Plan), Operations (statt Do), Performance Evaluation (statt Check) und Improvement (statt Act). Jedoch krankt die neue Norm wie auch die alte BS25999 daran, dass BCM zwar eine wichtige Managementdisziplin ist aber in aller Regel zusätzlich mit einem bereits etablierten Risikomanagement- oder Sicherheitsmanagementsystem abgestimmt werden muss.


Der von Jeff Primus in seinem vorhergehenden Artikel vorgestellte Ansatz – die Koppelung von BCM mit dem SABSA-Framework – ist daher grundsätzlich sinnvoll, wenn auch in unseren Breitengraden eher ungewohnt. Erstens ist ISO27001 in Europa im Allgemeinen wesentlich bekannter und verbreiteter als SABSA; zweitens laufen die beiden ISO-Normen 27001 und 22301 in einem einigermassen synchronen Zyklus, was die Arbeiten vereinfachen kann. Doch was ist im Zusammenhang mit BCM wirklich besser: SABSA oder ISO27001?
Das ist eine der vielen Fragen, welche wir im Rahmen unserer CISM-Vertiefungskurse für Sicherheitsbeauftragte und andere Fachspezialisten zu beantworten versuchen – sei es auf der Basis der strukturierten Diskussionen oder Gruppenarbeiten im Unterricht, sei es im Rahmen der vielen Pausengespräche und weiterführenden bilateralen Unterhaltungen zwischen den Kursteilnehmern. Aus (immer wieder) aktuellem Anlass kreist das Pausengespräch aber häufiger um Cyber Security als um BCM.

Die beiden Beispiele sind nur zwei von fast 40 verschiedenen Aufgaben, welche gemäss dem CISM-Berufsbild von einem Security Officer ausgeübt werden müssten. Die Aufgaben werden eingeteilt in die vier Themen "Governance der Informations-Sicherheit", Risikomanagement, Entwicklung eines Informationssicherheits-Programmes sowie Sicherheits-Ereignismanagement.
Wer mehr über das spannende Berufsbild erfahren möchte, kann sich einerseits durch das CISM Review Manual quälen. Besser geht es definitiv mit dem CISM-Kurs des ISACA Switzerland Chapter: unser Vertiefungskurs beginnt jeweils im Februar mit einem strukturierten Selbststudium. Danach folgt im Juni/Juli der Präsenzunterricht in Zürich. Im Herbst findet dann das auch separat buchbare CISM-Prüfungstraining statt, gefolgt von einer weiteren individuellen Vorbereitung mit einem elektronischen Fragekatalog auf die internationale Zertifikatsprüfung anfangs Dezember.


Der Kurs richtet sich an alle Personen, die eine Funktion in der Sicherheitsorganisation haben, die verantwortlich sind für (einen Teilbereich der) Sicherheit, die ISO2700x kennen und anwenden wollen – also (Informations-) Sicherheitsbeauftragte, Risikomanager, Verantwortliche Business Continuity, ...
Alle Teilnehmenden erhalten strukturierte Kursunterlagen mit klaren Lese- und Arbeitsaufträgen sowie umfangreichen Handouts zu den verschiedensten Themen.
Der durch ITACS Training AG im Auftrag des ISACA Switzerland Chapter durchgeführte Kurs vermittelt und vertieft theoretisches wie praktisches Fachwissen im breiten Feld von Risikomanagement und internen Kontrollen, bereitet aber auch intensiv auf die von ISACA organisierte CISM-Prüfung vor. Weitere Details zum CISM-Zertifikat und zur entsprechenden Ausbildung finden Sie auf www.itacs.ch