Leitfaden zu ISO 31000 in der IT

Seit Jahren sind IT-Risiken Gegenstand unterschiedlicher Frameworks, Standards und Methoden, sei es im ISO-Umfeld oder im Cobit (Control Objectives for Information and Related Technology)- und BSI (Bundesamt für Sicherheit in der Informationstechnik)-Grundschutz-Bereich.

Für Unternehmen ergeben sich daraus vielfältige Auswahlmöglichkeiten und Herangehensweisen, um Risiken zu bewerten. Die Folge sind uneinheitliche Prozesse und schwierige Vergleiche im Umgang mit dem jeweiligen Standard sowie im methodischen Vorgehen.

Nicht umsonst sahen Kritiker beispielsweise im ISO-Standard 31000 bis dato einen rein generischen Ansatz, der die unternehmensspezifischen Aspekte eines Risikomanagements nicht angemessen berücksichtigte.

Dies zu ändern, war die Aufgabe des Gemeinschaftsprojekts „ISO 31000 in der IT“ von RMA und Isaca. Der Projektgruppe ging es primär darum, die Komplexität im ISO-31000-Umfeld zu reduzieren und mehr Übersicht zu schaffen.

Da ISO 31000 einem dynamischen Verbesserungsprozess unterliege, gehörten Änderungen im IT-Umfeld zum Tagesgeschäft, weiß Jürgen Kempter, RMA-Projektverantwortlicher und Leiter des Arbeitskreises „Information Risk Management“. Diese Dynamik der Branche solle sich im spezifischen IT-Risikomanagement wiederfinden, und das mit einem Blick auf neue IT-Trends, wie Cloud Computing, oder das drängende Thema Cybersicherheit.

Der neue Leitfaden ist als praktischer Leitfaden für Fachkräfte aus dem Prüfungs- und Beratungsumfeld mit IT-Bezug gedacht – von der internen Revision über den Compliance-Bereich bis zum Risikomanagement und zum Sicherheitsumfeld.

Das Rahmenwerk bietet auf rund 40 Seiten konkrete Praxishilfen. Im Klartext beleuchtet der Leitfaden die Vorgaben der ISO 31000 ff. aus einem IT-bezogenen Blickwinkel, erstmals umfassend dokumentiert. Zudem erhalten Anwender fundierte Hinweise zur praktischen Umsetzung im IT-Umfeld, hinterlegt mit praktischen Beispielen und Kommentaren unter IT-Gesichtspunkten.

In einem Vergleich zeigt der Leitfaden Gemeinsamkeiten und Unterschiede zu weiteren bekannten Standards zum IT-Risikomanagement auf, was dem Leser wichtige Impulse für die eigene Arbeit vermittelt.

Die Macher von RMA und Isaca haben damit ein beispielloses Rahmenwerk im Standardisierungs- und Methodenumfeld erarbeitet. Standards dienten der Standardisierung, ISO-Standards der globalen Standardisierung, so Ralf Kimpel, Vorsitzender des Vorstands der RMA. In einem Gemeinschaftsprojekt sei es gelungen, Sprachregelungen zu finden und einen wichtigen Orientierungsrahmen für ISO-31000-Anwender zu bieten, bei gleichzeitig sinkender Komplexität.