Itsb und Admin

Moin,

Das ist ein Interessenskonflikt.
Der Informationssicherheitsbeauftragte soll ja die die Aktivitäten der IT mit im Auge behalten. Nicht, dass man denen etwas unterstellt/ misstraut, aber manchmal sieht man den Wald vor lauter Bäumen nicht.

Zudem: Informationssicherheit ist der IT-Sicherheit im wesentlichen übergeordnet. Denn Daten auf Papier haben mit IT wenig zu tun, dafür aber mit Information…

Wenn du das in Personalunion machst, wird der Bock zum Gärtner

Korrekt, ist ein Widerspruch.

Natürlich besteht hier ein gewisser Interessenskonflikt. Die Norm ist hier aber auch nicht ganz klar.
Im Anhang A wird zwar von Aufgabentrennung gesprochen, aber auf der anderen Seite, obliegt es der Geschäftsführung, Rollen und Verantwortlichkeiten in einem ISMS zuzuweisen.

In der Praxis ist es in der Regel kein Thema, wenn ein Admin oder in vielen Fällen auch der IT-Leiter diese Rolle übernimmt.
Ist ja normalerweise auch so, das es keine OneMan-Show ist, sondern das es ein interdisziplinäres Team gibt, das sich die Aufgaben die von der Norm gefordert wird teilt und auch als Kontrollorgan dient, um das Thema Personalunion zu entschärfen.
Wir hatten bisher in 13 Jahren mit verschiedenen Auditoren sowohl bei der ISO217001 als auch bei TISAX keinerlei Probleme damit.
Auch bei Lieferanten von uns, bei denen ich Lieferantenaudits durchgeführt habe, wird das in der Regel so gehandhabt und war bei Zertifizierungsaudits kein großes Thema.

Moin.

Zur Wahrung der Unabhängigkeit sollte der ISB direkt der obersten Leitung zugeordnet sein. Eine Integration in die IT-Abteilung kann zu Rollenkonflikten führen, da der ISB seine Verpflichtung zur Kontrolle der Sicherheitsmaßnahmen nicht frei von Beeinflussung wahrnehmen kann.
https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standar ...

Wenn ich beim BSI "sollte" lese, ist Spielraum da.

kann mich dem nur anschließen, war selbst einige Jahre ISB (+IT Teamleiter) und habe TISAX initial "zertifizieren" lassen (aufs Wording muss man bei TISAX ja extrem achten ;D).
Das Thema kam mit dem Auditor auch auf, aber er sagte aus dass ein Problem sein kann aber nicht sein muss.
Auf der anderen Seite wäre sonst nur ein Externer in Frage gekommen, da man ja auch etwas Wissen mitbringen muss, welches die normalen Bürohoschis ja nicht haben und ein Interesse gabs auch nicht, weil die Firma halt dumm war, denn sowas muss man schon vergüten.

Ende vom Lied, man wollte sich keine Mühe geben mich zu halten, bin den Mist los und genieße mein Adminleben in einem anderen Unternehmen, jetzt machts ein Externer (natürlich viel teurer). Mist deshalb, wenn alles an einem hängen blieb obwohl eigentlich alle mitmachen sollten, soll heißen für die meisten war die Zertifizierung eher eine Bürde und nervte (obwohl zwingend notwendig fürs Geschäft).

Das ganze Thema selbst ISB zu sein ist ähnlich wie Finanzvorstand in einer Kleingartenanlage, muss man sich mega gut überlegen. Schlimmer ist eigentlich nur DSB.

Das Problem ist ja das du dich selber überwachen müsstest....

https://www.liidu.de/unterschied-zwischen-dsb-isb-und-itsb

„Um eine wirkungsvolle Ausübung der Rolle des ITSB zu gewährleisten, empfiehlt es sich, den Beauftragten nicht in die IT-Abteilung zu integrieren, da deren Interessen und Ziele sich oftmals nicht mit den Aufgaben des ITSB decken. Vor allem die Optimierung der IT-Sicherheit auf der einen und das effiziente Funktionieren der EDV (als Hauptaufgabe der IT-Abteilung) auf der anderen Seite harmonieren häufig nicht. Eine Trennung der beiden Funktionen ist daher sinnvoll.“ (Vgl. Schmidl/Tannen, in: Kipker, Cybersecurity, 1. Auflage 2020, Rn. 38-48)