Die Kanton Glarus – Informatik (KGI) ist der zentrale IT-Dienstleister des Kantons Glarus und verantwortet Betrieb, Sicherheit und Weiterentwicklung der IT-Landschaft für die kantonale Verwaltung, die Gemeinden, die Gerichte, die Polizei und die Schulen. Als Betreiberin kritischer Verwaltungsdienstleistungen trägt sie eine hohe Verantwortung für den Schutz sensibler Daten der Bürgerinnen und Bürger sowie für die Kontinuität der digitalen Verwaltung.
Aufbau eines ISMS und Implementierung eines GRC-Tools
Die Hauptabteilung Informatik stand vor der Herausforderung, ein einheitliches Informationssicherheits-Managementsystem (ISMS) über alle Organisationseinheiten hinweg aufzubauen: als Grundlage für eine strukturierte Security Governance, für die Einhaltung der gesetzlichen Anforderungen (Bundesgesetz über den Datenschutz DSG sowie das kantonale Informations- und Datenschutzgesetz IDG GL) und für die Vorbereitung einer allfälligen ISO/IEC-27001-Zertifizierung.
Unser Ansatz begann mit einem umfassenden Maturitätsassessment: Wir bewerteten alle 93 Massnahmen des Anhangs A von ISO/IEC 27001:2022 hinsichtlich Richtlinien- und Umsetzungsreife und leiteten daraus einen priorisierten Fahrplan ab. Auf dieser Basis konzipierten wir ein Governance-Modell, das Information Security Management Framework (ISMF), das die Informationssicherheit entlang einer Governance-Pyramide über die strategische, taktische und operative Ebene steuert.
Kernbausteine der Umsetzung
Durch die Integration des GRC-Tools wurden Richtlinienmanagement, Risikoanalyse, Massnahmensteuerung und Nachweisführung in einer zentralen, nachvollziehbaren Umgebung zusammengeführt. So entstand aus verteilten Einzelmassnahmen ein durchgängig steuerbares und prüfbares ISMS.
Ergebnisse
- Einheitliche Sicherheitsstandards und Richtlinien über alle Organisationseinheiten hinweg.
- Klar definierte Rollen und Verantwortlichkeiten für die Informationssicherheit.
- Zentrales, auditfähiges Risk Register und Massnahmen-Tracking im GRC-Tool.
- Volle Transparenz über den Sicherheitsstatus durch Reifegradmessung und Statement of Applicability.
- Nachweisbare Ausrichtung an DSG und IDG GL sowie belastbare Vorbereitung auf eine ISO/IEC-27001-Zertifizierung.
- Nachhaltige Verankerung der Informationssicherheit im Tagesgeschäft (kontinuierliche Verbesserung nach PDCA).
«Als kleiner Kanton haben wir mit Cyberopex einen pragmatischen Partner gefunden, der es verstand, ein ausgezeichnetes und hochprofessionelles ISMS aufzubauen. Wir sind überzeugt, dass wir dadurch einen wesentlichen Beitrag zur Steigerung der Informationssicherheit geleistet haben und wir in den kommenden Jahren davon profitieren können.»
Durch den Aufbau des ISMS und die Implementierung des GRC-Tools konnte die Hauptabteilung Informatik die Informationssicherheit über alle Organisationseinheiten hinweg auf ein einheitlich hohes und nachvollziehbares Niveau bringen. Security Governance, Risikomanagement und Nachweisführung greifen heute in einer zentralen Plattform ineinander: transparent, auditfähig und bereit für die ISO/IEC-27001-Zertifizierung.
