Auf einen Blick
- Bereich: Gesundheitswesen — Estlands größtes Krankenhaus
- Produkt: Cybsis, unsere Plattform für das Informationssicherheits-Management
- Umfang: ~200 Nutzer, 25+ Maßnahmenverantwortliche, ein gemeinsames ISMS
Die Herausforderung
Für ein Krankenhaus dieser Größe ist Informationssicherheit kein Häkchen, das man setzt. Es setzt E-ITS um — Estlands nationalen Informationssicherheitsstandard — nicht, um eine Zeile in einem Auditbericht zu gewinnen, sondern um seine Sicherheitsreife wirklich zu erhöhen. In den Worten seines Sicherheitsverantwortlichen: "Wir behandeln E-ITS nicht als Häkchen in einem Bericht; das Ziel ist, die Maßnahmen wirklich umzusetzen und unsere Sicherheit auf ein reifes Niveau zu heben."
Das bedeutet Hunderte von Maßnahmen, Dutzende dafür verantwortliche Menschen und einen Standard, der jedes Jahr überarbeitet wird. In Tabellen bricht das zusammen: Verantwortlichkeiten verschwimmen, der Umsetzungsplan veraltet, und jede jährliche Überarbeitung bedeutet, das Register von Hand neu zu erstellen. Was das Krankenhaus brauchte, war nicht noch ein Bericht, sondern ein lebendiges System — ein Ort, an dem jede Maßnahme, jeder Verantwortliche und jede Frist sichtbar und unter Kontrolle bleibt, zwischen den Audits, nicht nur zum Zeitpunkt der Abnahme.
Der Ansatz
Das Krankenhaus betreibt sein Informationssicherheits-Management auf Cybsis, der ISMS-Plattform von RaulWalter. Statt einer statischen Tabelle hält Cybsis den gesamten Standard als lebendiges System: jede Maßnahme abgebildet, jeder Verantwortliche zugewiesen, jede Frist verfolgt, mit einem kontinuierlich und aktiv gepflegten Umsetzungsplan. Assets, Prozesse, Risiken und Maßnahmen sind verknüpft, sodass die daraus entstehende Arbeit auftaucht, wenn sich etwas bewegt, statt still abzudriften. Wenn ein Auditor fragt, was dieses Jahr getan wurde, ist der Nachweis einen Klick entfernt — und da die jährlichen Überarbeitungen des Standards durch die Plattform laufen, übernimmt das Krankenhaus sie, ohne das Register von Hand neu aufzubauen.
Das Krankenhaus kam als Early Adopter dazu und wuchs mit dem Produkt, prägte es durch direktes Feedback, während es reifte — und nach Aussage seines Sicherheitsverantwortlichen haben die jüngsten Versionen diesen Einsatz belohnt.
Das Ergebnis
Das Informationssicherheits-Management des Krankenhauses wechselte von Tabellen, die niemand aktuell halten konnte, zu einem System, das es täglich nutzt und dem es vertraut.
- E-ITS als lebendiger Umsetzungsplan — jede Maßnahme, jeder Verantwortliche und jede Frist an einem Ort, kontinuierlich verfolgt, keine statische Tabelle
- ~200 Menschen arbeiten in einem gemeinsamen ISMS, mit 25+ Maßnahmenverantwortlichen, die im System Rechenschaft ablegen
- Standardmäßig auditbereit — Erledigtes ist mit jeder Maßnahme verknüpft, der Nachweis einen Klick entfernt
- Manuelle, wiederholte Arbeit reduziert — besonders bei den jährlichen Überarbeitungen, wo eine Tabelle den Neuaufbau des Registers bedeutet hätte
- Ein Referenzkunde — das Krankenhaus empfiehlt Cybsis nun aus eigener Initiative anderen Krankenhäusern