ISMS Dokumentenlenkung mit Confluence

Inhalt:

• Vorgaben ISO-27001 Norm

• Geforderte Dokumentation der Norm

• Angemessenes Format und Medium

• Angemessene Kennzeichnung

• Überprüfung und Genehmigung

• Verfügbarkeit und Auffindbarkeit

• Überwachung und Änderung

Nachdem Sie wissen, was Ihr ISMS alles umfassen muss, wird es Zeit, sich Gedanken über das Format und das Medium zu machen. Die Dokumentationen sollten dem Zweck entsprechend gestaltet werden. Konkret heißt das, dass Sprache und visuelle Aufbereitung nicht nur zu Ihrem Unternehmen passen sollten, sondern auch zu dem Inhalt beziehungsweise dem Zweck der Dokumentation. 
Wie bereits erwähnt, haben wir uns für die Wiki-Software Confluence von Atlassian entschieden. Natürlich können Sie Ihr ISMS auch analog auf Papier abbilden (dazu später mehr), oder ein anderes digitales Medium wählen. In diesem Beitrag wollen wir jedoch auf die Abbildung in Confluence und die damit einhergehenden Vorteile eingehen.

Ein Vorteil von Confluence sind Vorlagen und Templates. Diese helfen Ihnen bei der schnellen und konsistenten Erstellung von Dokumenten und sorgen so für ein einheitliches Format. Durch die Nutzung von Vorlagen können Sie viel Zeit sparen: Dokumente sind mit einem Klick angelegt, Layout und Struktur sind vorgegeben und Sie müssen nur noch die entsprechenden Inhalte einpflegen. Ein konstanter Aufbau hilft auch den Lesenden dabei, Informationen schneller aufzunehmen. In Confluence können problemlos Grafiken und Dateien eingebaut werden, um die Dokumentation visuell aufzubereiten. Zudem können Übersetzungen hinterlegt werden, wodurch Sie Dokumentationen auch mehrsprachig anbieten können. Ein weiteres Plus von Confluence-Vorlagen: Meta-Daten.

Die Dokumente innerhalb des ISMS müssen angemessen gekennzeichnet werden. Dazu gehört neben einem Titel, auch der Autor, das Datum und viele weiter Informationen. Hierfür können Sie in Confluence eine Standard-Funktion nutzen. Dadurch können Sie einige Meta-Daten komplett automatisieren und sparen sich nicht nur Arbeit, sondern stellen auch sicher, dass diese Meta-Informationen nicht vergessen werden. Der Aufbau unserer Confluence-Vorlage sieht also wie folgt aus: Ganz oben befindet sich der Titel des Dokuments, gefolgt von einem Inhaltsverzeichnis und verschiedenen automatisierten und manuellen Meta-Daten. Darunter befindet sich der Hauptbereich, in dem der eigentliche Inhalt der Dokumentation aufgeführt ist. 

Es ist wichtig, dass die Dokumentationen bei der Erstellung geprüft, genehmigt und freigegeben werden. Ein Mal jährlich müssen alle Seiten auf Aktualität überprüft werden. Ebenso ist es sinnvoll, alle neu erstellten oder geänderten Seite zu überprüfen und zu genehmigen, um sicherzugehen, dass alle Inhalte stets richtig und vollständig sind. Hierzu können Sie ein Plugin nutzen, um für jede Seite Ihres ISMS einen Workflow beziehungsweise Prozess zu hinterlegen. Dadurch kann jeder Seite ein Status zugewiesen werden. Anhand dieses Status können Sie auf einen Blick erkennen, ob eine Seite genehmigt werden muss, bereits genehmigt ist oder bereits veraltet ist. 

In der Praxis nutzen wir das Plugin wie folgt:
Wird eine Seite erstellt, erhält sie den Status „requires approval“. Gleichzeitig erhält die Person, die für die Genehmigung zuständig ist, eine Benachrichtigung und einen Task. Nun kann die zuständige Person die Seite genehmigen oder ablehnen und die Entscheidung mit einem Kommentar begründen. Der gleiche Prozess wird auch bei einer Änderung angestoßen. Hier nutzen wir zusätzlich eine weitere Standard-Funktion von Confluence: Änderungshistorie (Page History) oder auch Seiten-Versionierung (mehr dazu in Überwachung von Änderungen). Um sicherzustellen, das unsere Dokumentationen stets aktuell sind, haben wir einen weiteren Automatismus im Einsatz: Wir können einen Zeitraum (beispielsweise ein Jahr) definieren, nach welchem eine Dokumentation automatisch auf den Status „for review“ gesetzt wird. Dadurch stellen wir sicher, dass jedes Dokument mindestens ein Mal jährlich überprüft wird.

Ein weiterer großer Vorteil ist die Möglichkeit, eine Dokumentenansicht in Confluence zu erstellen. Hier sehen wir wann Änderungen und Updates vorgenommen wurden und welchen Status das Dokument aktuell hat. In der Dokumentenübersicht können die Seiten sortiert werden. So haben wir stets im Blick, welche Seiten genehmigt oder überprüft werden müssen.

Das ISMS sollte über eine eindeutige Versionskontrolle verfügen. Änderungen müssen transparent und nachvollziehbar sein. 

Wie bereits weiter oben erwähnt, nutzen wir dafür einen Automatismus. Sobald eine Änderung vorgenommen wird, ändert sich der Status auf „requires approval“. Um besagte Änderung nun nachvollziehen zu können, bietet Confluence eine Seiten-Versionierung oder auch Änderungshistorie. Außerdem können bei Bedarf vorherige Versionen wieder hergestellt werden und es gibt die Möglichkeit, Änderungen zu kommentieren. 

Hier werden Version, Änderungsdatum und die Person, die die Änderung vorgenommen hat, aufgelistet. Eine weitere hilfreiche Funktion von Confluence: Versionen können miteinander verglichen werden. Bei einem Vergleich zweier Seiten werden alle Änderungen farblich hervorgehoben. Dies ist eine native Funktion von Confluence und benötigt keinerlei Plugins oder Erweiterungen. Sie sehen also auf einen Blick, was gelöscht, geändert oder umformatiert wurde.