Dokumentationsmanagement als Erfolgsfaktor eines effektiven Informationssicherheitsmanagements

Abstract

Ein integriertes Dokumentationsmanagement ist ein wichtiger Erfolgsfaktor für ein effektives Informationssicherheitsmanagement. Die Praxis sieht leider häufig anders aus. Unternehmen, die sich für die Einführung von Informationssicherheitsmanagement (ISMS) ggf.
mit einer Zertifizierung entscheiden, befassen sich in der Regel zwar ausführlich damit, welche Dokumente zu erstellen sind. Der Dokumentenverwaltung und -lenkung wird jedoch kaum Aufmerksamkeit gewidmet. Mehrwert, Anpassbarkeit und Funktionstüchtigkeit
der Dokumentation bei sich ständig ändernden Organisationsumgebungen sind aber nur mit einem geordneten und geplanten Umgang mit der Dokumentation zu erreichen. Notwendig ist daher ein Dokumentationsmanagement, das eine zentrale Steuerung der Dokumentation ermöglicht und dafür u. a. Vorgaben zur Strukturierung und Verwaltung der Dokumente definiert. In der jüngsten Zeit werden von der International Organization for Standardization (ISO) Anforderungen an die Steuerung der Dokumentation durch das Management definiert. Entsprechend diesen Vorgaben definiert das Kapitel 7.5 der ISO 27001:2013 [ISO/IEC (2013)] umfassende Anforderungen an das Management der Dokumentation. Aber Standards, Frameworks oder Modelle zur Implementierung eines integrierten Dokumentationsmanagements fehlen nach wie vor und damit den Unternehmen hilfreiche Ansätze zur Implementierung
und zur Pflege einer anforderungsgerechten und nachhaltigen Dokumentation. In der Konsequenz ist das Dokumentationsmanagement ein weithin unterschätzter Managementbereich. Und auch in der wissenschaftlichen Literatur finden sich nur wenige Ansätze, die sich umfänglich mit dem Themenbereich Dokumentationsmanagement beschäftigen. Der Beitrag erläutert die Dokumentationsanforderungen der ISO-Norm und stellt auf Basis dieser Anforderungen einen Ansatz zur Umsetzung vor, mit dem Ziel einen kontrollierten und einheitlichen Umgang mit der Vielzahl an Dokumenten, die in einem Managementsystem wie dem ISMS entstehen, zu gewährleisten.