In­for­ma­ti­ons­si­cher­heit in Un­ter­neh­men: Die Mubea Un­ter­neh­mens­grup­pe

Informationssicherheit in zehn Ländern bringt Vorteile im Wettbewerb

Die Globalisierung stellt viele Unternehmen beim Thema Informationssicherheit vor enorme Herausforderungen. Die Infrastruktur und die gesetzlichen Regelungen unterscheiden sich in den einzelnen Ländern zum Teil massiv. Dennoch sind global agierende Unternehmen dazu verpflichtet, ein wirksames Schwachstellenmanagement einzuführenund geeignete Schutzmaßnahmen zu etablieren. Denn die Digitalisierung von Geschäftsprozessen über Ländergrenzen hinweg erfordert von allen Beteiligten ein vergleichbares Niveau an IT-Sicherheit, das über die gesamte Wertschöpfungskette gewährleistet sein muss.

Auch in der Automobilindustrie wird die Sicherheit schützenswerter Daten und Informationen immer wichtiger, wenn es um die internationale Zusammenarbeit von verschiedenen Standorten, Tochtergesellschaften oder Dienstleistern geht. Der Automobilzulieferer Mubea stand dabei vor der großen Hürde, das Niveau der IT-Sicherheit in zehn Ländern mit insgesamt 20 Tochtergesellschaften auf das gleiche Level heben zu wollen.

Informationssicherheit in Unternehmen 

Ein Vorsprung, auf den Kunden achten

Bereits vor Jahren hat der Leichtbau-Spezialist für Karosserie, Fahrwerk und Antrieb begonnen, sich intensiv mit der Informationssicherheit auseinanderzusetzen: „Unsere Kunden verankerten das Thema immer öfter in ihren Einkaufsbedingungen. Und um im Wettbewerb weiterhin gut aufgestellt zu sein, wollten wir schnell handeln“, berichtet Christiane Habbel, Head of IT – Information Security & Compliance im Unternehmen.

Aber das war nicht der einzige Grund: „Wir sind ohnehin bestrebt, unser Managementsystem für Informationssicherheit ständig zu verbessern und unsere Mitarbeiter für das Thema zu sensibilisieren. So haben wir uns 2017 entschlossen, eine Zertifizierung nach der anerkannten ISO-Norm 27001 durchführen zu lassen. Das hilft uns bei diesem Vorhaben enorm“, so Habbel.

ISO 27001 – Zertifizierung bringt Vorteile

ISO 27001 ist eine internationale Norm für Informationssicherheit für private, öffentliche oder gemeinnützige Organisationen. Die Norm beschreibt die Anforderungen für das Einrichten, Realisieren, Betreiben und Optimieren eines dokumentierten Informationssicherheits-Managementsystems (ISMS). Die Zertifizierung wird immer an die Gegebenheiten des jeweiligen Unternehmens angepasst und berücksichtigt individuelle Besonderheiten.

Neben dem Thema Informationssicherheit beschäftigt sich die Norm besonders mit der Analyse und der Behandlung der damit verbundenen Risiken. Für Unternehmen bietet sie damit einen systematisch strukturierten Ansatz, die Integrität der betrieblichen Daten und deren Vertraulichkeit zu schützen. Gleichzeitig sorgt sie für die Sicherstellung der Verfügbarkeit der an den Unternehmensprozessen beteiligten IT-Systeme.

Zertifikate nach der weltweit anerkannten Norm sind generell drei Jahre gültig. Mit Blick auf eine fortlaufende Verbesserung und die anhaltende Wirksamkeit des Managementsystems erfolgt aber jährlich ein Überwachungsaudit.

TISAX® – Prüfungsverfahren für den Automobilbereich

Zwar existiert seit 2017 mit TISAX^® (Trusted Information Security Assessment Exchange) ein von der Automobilindustrie definierter Standard für Informationssicherheit und somit eine weitere Möglichkeit zur Zertifizierung, die viele Automobilhersteller und Zulieferer inzwischen von Geschäftspartnern verlangen. Allerdings war TISAX® zunächst nur ein europäischer Standard für die Branche und noch nicht global etabliert.

„Das ging uns nicht weit genug“, erinnert sich Habbel. Deshalb entschied sich das Attendorner Unternehmen zunächst für eine ISO 27001-Zertifizierung, um sich in puncto Informationssicherheit einen Vorsprung im Wettbewerb zu sichern.

Doppelte Zertifizierung durch die DQS

Mit diesem Entschluss machte sich Mubea auf die Suche nach einem geeigneten Partner und entschied sich kurzerhand für die DQS.

Zunächst wurde von den DQS-Auditoren vor Ort das Funktionieren des Informationssicherheits-Managementsystems (ISMS) unter die Lupe genommen. Außerdem musste Mubea für die ISO 27001 Zertifizierung ein erfolgreiches Zusammenspiel der Grundwerte der Informationssicherheit nachweisen: Vertraulichkeit, Integrität und Verfügbarkeit. Das sind die drei Schutzziele der Informationssicherheit.

Mögliche IT-Risiken oder die Informationssicherheit gefährdende Prozesse wurden in diesem Zusammenhang aufgelistet und optimiert. „Die Zusammenarbeit mit DQS war sehr praxisnah und kundenorientiert. Wir haben sehr von den fundierten Branchenkenntnissen der Auditoren profitiert, die uns in allen Belangen unterstützten“, so Habbel. „Dies trifft sowohl für die Zertifizierung nach ISO 27001 als auch TISAX^® zu.“

Europaweite Informationssicherheit im Unternehmen

Mit Hilfe der DQS ist es Mubea aber nicht nur gelungen, die Sicherheit sensibler Daten und Informationen des Headquarters zu optimieren. Das Unternehmen hat auch 20 Tochterunternehmen an zehn Standorten in Europa auf ein neues Sicherheitslevel gehoben und einen gemeinsamen Sicherheitsstandard etabliert.

Gegenüber Kunden und Partnern kann Mubea nun die eigene Informationssicherheit durch die beiden Zertifikate verlässlich dokumentieren. Dies verschafft dem Automobilzulieferer einen Wettbewerbsvorteil im Markt, konstatiert Habbel:

„Mit ISO 27001 haben wir nicht nur europaweit einen hohen Sicherheitsstandard ins Unternehmen gebracht. Wir schützen uns auch vor Cyberangriffen von außen und konnten unsere Mitarbeiter für die Sicherheit unserer vertraulichen Unternehmenswerte sensibilisieren. Denn Informationssicherheit ist weit mehr als nur IT-Sicherheit. Nun bleiben wir aber nicht stehen. Wesentliche Komponenten unseres Managementsystems werden jährlich auditiert, um weitere Verbesserungen zu erzielen. Das ohnehin sehr gute Level unserer Informationssicherheit entwickelt sich somit kontinuierlich weiter.“

Informationssicherheits-Managementsystem gemäss internationaler Norm

Die international anerkannte Norm ISO 27001 für ein Informationssicherheitsmanagement gilt weltweit. Sie bietet Organisationen aller Größen und Branchen einen Rahmen zur Planung, Umsetzung und Überwachung der Informationssicherheit. Dabei geht es um mehr, als nur die Aspekte der IT-Sicherheit. Besonders wertvoll für die Praxis ist die Umsetzung der Sicherheitsmaßnahmen (Controls) in Anhang A der Norm.

Die Normanforderungen sind generell anwendbar und gelten sowohl für private und öffentliche Unternehmen als auch gemeinnützige Institutionen. Mit Blick auf Datenschutz und den sicheren, integren Umgang mit personenbezogenen Daten stellt die internationale Norm ISO 27701 eine sinnvolle Ergänzung von ISO 27001 dar.

Ihr Nutzen eines ISMS

Durch den systematischen Aufbau und die Umsetzung eines prozessorientierten ISMS erzielen Unternehmen entscheidende Vorteile, zum Beispiel:

• Schutz von vertraulichen Informationen vor Missbrauch, Verlust und Offenlegung als integrativer Bestandteil der Unternehmensprozesse
• Sensibilisierung der Mitarbeiter: Bedrohungen im Unternehmen werden zuverlässig erkannt und reduziert
• Einhaltung relevanter Compliance-Anforderungen, mehr Handlungs- und Rechtssicherheit
• Schaffung von Vertrauen bei Kunden, Geschäftspartnern und in der Öffentlichkeit
• Steigerung der Wettbewerbsfähigkeit
• Optimierung von Prozess- und IT-Kosten

Über die DQS

DQS ist auf Audits und Zertifizierungen für Managementsysteme und Prozesse spezialisiert. Mit der Expertise aus mehr als 40 Jahren ist das Unternehmen aus Frankfurt am Main ein kompetenter Partner des Managements. Wir auditieren nach rund 200 anerkannten Normen und Regelwerken oder nach Ihren unternehmensspezifischen Vorgaben – regional, national und international.

Unparteilichkeit und Objektivität sind für uns wesentliche Elemente bei der Durchführung von Audits und Zertifizierungen. Und das gilt nicht nur für die normativen Bereiche, sondern auch für die Durchführung sämtlicher Audittätigkeiten. Lesen sie mehr über unsere Auditphilosophie.

Gerne helfen wir Ihnen weiter, wenn Sie das Informationssicherheits-Managementsystem Ihres Unternehmens oder Ihrer Organisation zertifizieren lassen möchten.

Vertrauen und Expertise

Unsere Texte und Whitepaper werden ausschließlich von unseren Normexperten oder langjährigen Auditoren verfasst. Sollten Sie Fragen zu den Textinhalten oder unseren Dienstleistungen an unseren Autor haben, senden Sie uns gerne eine E-Mail: [email protected]

Hinweis: Wir verwenden aus Gründen der besseren Lesbarkeit das generische Maskulinum. Die Direktive schließt jedoch grundsätzlich Personen jeglicher Geschlechteridentitäten mit ein, soweit es für die Aussage erforderlich ist.