Managementsysteme/de

Administratoren und Experten können Managementsysteme über "Administration ==> Managementsysteme" erstellen, bearbeiten und verwalten.
Wobei Experten nur die Managementsysteme bearbeiten können für die Sie Verantwortlich sind.

Welchen zweck erfüllen Managementsysteme?

Managementsysteme haben zwei zentrale Funktionen:

1. Sie dienen dazu Maßnahmen, Kontrollen, Risikoidentifikationen etc. ausgewählter Abteilungen Themenbereichen zuzuteilen und dafür verantwortliche Experts zu definieren, die z.B. die Fortschrittserhebung zu den Maßnahmen betreuen.
   Beispiel:
   • ISM Reporting: Maßnahmen aus den Information Security Management Audits werden von Frau Moser verwaltet
   • QM Reporting: Maßnahmen aus den Qualitätsmanagement Management Audits werden von Herrn Mustermann verwaltet
     
2. Sie dienen dazu die Rückmeldungen aus den Fortschrittserhebungen zu den diversen Maßnahmen zeitlichen Perioden zuzuteilen und entsprechende Kennzahlen sowie Trends analysieren zu können.
   Beispiel:
   • Herr Mustermann erhebt Fortschritte über 10 Abteilungen halbjährlich.
   • Frau Moser erhebt Fortschritte über 2 Abteilungen quartalsweise.

Dass heißt:

• Maßnahmen zur Risikobehandlung können von Mitarbeitern aus unterschiedlichen Verantwortungsbereichen umgesetzt werden.
  Experten aus den einzelnen Managementsystemen können laufend den Fortschritt der Maßnahmenentwicklungen erheben und über mehrere Analysezeiträume hinweg periodenrein berichten.

• Neben den Maßnahmen können für die weitere Risikoüberwachung auch Kontrollen angelegt werden, die die Wirksamkeit und Nachhaltigkeit von umgesetzten Maßnahmen sicherstellen.
  Kontrollen werden den Mitarbeitern des jeweiligen Verantwortungsbereiches zugewiesen, welche in vordefinierten Intervallen an die Durchführung der Kontrolle erinnert werden.
  Die Durchführung dieser - ggf. mit Angabe von Evidenzen – ist darüber nachvollziehbar dokumentierbar.

Löschen eines Managementsystems:

• Das Löschen eines Managementsystems kann nur vom verantwortlichen Expert ausgelöst werden.
• Es wird das Löschen von Managementsystemen nur dann unterstützt solange keine Analysezeiträume enthalten sind.

Stammdaten:

In den Stammdaten wird ein Managementsystem konfiguriert.
Die hier getroffenen Einstellungen wirken sich auf die zu erstellenden Maßnahmen sowie Berichte aus.

Stammdaten bearbeiten:

• Hier wird der Name, der/die Verantwortliche und die Teammitglieder für ein Managementsystem festgelegt.
  Pro Managementsystem kann es nur einen Verantwortlichen geben.
  Managementsysteme sind nach Erstellung nur mehr von der verantwortlichen Person, oder den Administratoren, bearbeitbar.

Email Einstellungen:

• Wird hier eine Email eingestellt, dann werden alle Erinnerungen die von diesem Managementsystem ausgehen über diese Email versendet.
  Wird hier keine Email konfiguriert, so werden alle Emails von der Email-Adresse Versand die in den Globalen Einstellungen konfiguriert ist.(siehe Globale Email)

Intervallschema definieren:

Mit dem Intervallschema wird festgelegt wie Analysezeiträume angelegt werden.
Analysezeiträume können:

• manuell angelegt werden (Eingrenzung von-bis Datum bei der Anlage)
• im vorhinein konfiguriert werden (z.B. Unterteilung des Jahres in 3 Analysezeiträume beginnend mit 1.2.2017 => 1.2.-31.5.2017; 1.6. – 30.09.2017; 1.10.- 31.1.2018)

Optionale Maßnahmeneigenschaften:

Diese Eigenschaften haben Auswirkung auf die Maßnahmenerstellung in den jeweiligen Managementsystemen.

• siehe Optionale Maßnahmeneigenschaften

Optionale Maßnahmeneigenschaften

Verwendete Schutzziele:

Werden hier Schutzziele aktiviert, sind diese in der Risikopolitik des Security Assessors standardmäßig aktiviert.
Das wiederum hat Auswirkungen auf Risikobewertungen und Analysen.
Schutzziele können von Experten unter "Security Assessor ==> Risikopolitik" verwaltet und erstellt werden.(siehe Schutzziele)

Nur die originären Schutzziele (nach ISO 27001, ISO 80001):

• Vertraulichkeit
• Verfügbarkeit
• Integrität

können nicht gelöscht werden.

Verwendete Schutzziele.PNG

Analysezeitraum und Historie:

Analysezeiträume dienen dazu im Security Assessor sowie im Progress Monitor, einzelnen Perioden Resultate zuzuordnen und diese somit auswertbar und vergleichbar zu machen.
Analysezeiträume können auf zwei unterschiedliche weisen angelegt werden.(siehe Intervallschema definieren) Abhängig davon ob sie manuell oder automatisch angelegt wurden, wird der verantwortliche Expert zum jeweiligen Stichtag aufgefordert die nicht erledigten Maßnahmen in den nächsten Analysezeitraum zu überführen.

Aktiver Analysezeitraum:

Redaktionsschluß:

• Relevant für den Progress Monitor.
  Das Datum bei dem alle Fortschrittsmeldungen, zu allen Maßnahmen, eines Analysezeitraums abgeschlossen sein sollten.
  Fortschrittsmeldungen können über "Progress Monitor ==> Fortschrittsmeldungen" aber auch jederzeit Manuell angefordert werden.

Zielreifegrad:

• Der Zielreifegrad beschreibt den Zielzustand für alle Abweichungsanalysen.
  Wenn Sie bei einer Analyse unter einem Zielreifegrad liegen wird die beantwortete Prüffrage als Abweichung erkannt.
  Die identifizierten Abweichungen sollten im nächsten Schritt Risiken zugeteilt und durch Maßnahmen und Kontrollen behandelt werden.

Enthaltene OrgEhs:

• Organisationseinheiten sind in den Analysezeiträumen denen sie zugeteilt sind berichtspflichtig.
  D.h. sie müssen zum Redaktionsschluß Fortschrittsmeldungen über die ihnen zugeteilten Maßnahmen abgeben.
  Eine Organisationseinheit kann zeitgleich auch in mehreren Managementsystemen bzw. Analysezeiträumen berichten.

In Nachfolge-Analysezeitraum überführen:

• Beim Überführen eines Analysezeitraums in den nächsten werden, im Zusammenhang mit dem Progress Monitor,
  alle nicht auf Status „Erledigt“ befindlichen Maßnahmen in den neuen Analysezeitraum überführt und die jeweiligen Status entsprechend adaptiert.
  Die erledigten Maßnahmen werden im nächsten Zeitraum natürlich nicht mehr weiterverfolgt.

Löschen eines Analysezeitraums:

• Das Löschen eines Analysezeitraums kann nur vom verantwortlichen Expert ausgelöst werden.
• Es wird das Löschen von Analysezeiträumen nur dann unterstützt solange noch keine Statusanforderungen erstellt wurden.
• Es kann immer nur der aktuellste Analysezeitraum gelöscht werden, abgeschlossene nicht mehr.

Aktiver Analysezeitraum

Historie:

• In der Historie werden die Analysezeiträume welche schon abgeschlossen wurden mit Beginn, Ende und Redaktionsschluß aufgelistet.

Aktiver Analysezeitraum