Endlich ist es möglich, eine unternehmensweit einheitliche quantitative Bewertung der implementierten Sicherheitsmaßnahmen bzw. –kontrollen im Bereich der Informationssicherheit durchzuführen. MEHARI ermöglicht den Aufbau eines Riskiomanagements (basierend auf ISO TR 13335), die Erstellung von Aktionsplänen im Informationssicherheits (ISM) Bereich und bietet einen umfangreichen Auditkatalog für bestehende Sicherheitsmaßnahmen. Folgende Auditbereiche werden abgedeckt:
01 Organisation
02 Gebäude / physische Zutrittskontrolle
03 technische Räume
04 erweitertes Netzwerk
05 Lokales Netzwerk
06 Netzwerkbetrieb
07 Systemarchitektur
08 IT Betrieb
09 Applikationssicherheit
10 Softwareentwicklung
11 Arbeitsumgebung
12 Gesetze und Regelungen
Somit können die beschriebenen Prozesse Personen, die sich mit Risikoverminderung befassen, bei ihren verschiedenen Aufgaben unterstützen.
Aus den verschiedenen Analysen (Sicherheitsmaßnahmen, Verwundbarkeiten, Störfaktoren und Risiken) können Aktionspläne mit Vorschlägen zu Maßnahmen abgeleitet werden. So gesehen ist MEHARI eine erweiterte Risikoanalyse, deren Module nahtlos in die bestehende Organisationsumgebung integriert werden können. MEHARI versucht nicht, bestehende bewährte Prozesse abzulösen, sondern kombiniert und erweitert diese - speziell im Umfeld einer ISO Konformität.
flexibel – progressiv – kompatibel
Die MEHARI Methode ist mit ihren kostenfreien Modulen und Servicekatalogen unabhängig von Art und Größe eines Unternehmens einsetzbar.
Sie wurde von Informationssicherheitsexperten über mehrere Jahre entwickelt und wird ständig an neue Lösungen und Strukturen angepasst.
Der modulare Aufbau der MEHARI Methode erlaubt auch eine teilweise Verwendung und ermöglicht eine reibungslose Integration in bestehende Analyse- oder Managementprozesse.
Zielgruppe
Die Methodik bzw. zur Verfügung gestellten Dokumente sind prinzipiell für CISOs (Chief Information Security Officers), Auditoren oder Risikomanager aber auch für IT-Manager bestimmt, die weitgehend denselben oder ähnlichen Herausforderungen gegenüberstehen.
Die Methodik bzw. zur Verfügung gestellten Dokumente sind prinzipiell für CISOs (Chief Information Security Officers), Auditoren oder Risikomanager aber auch für IT-Manager bestimmt, die weitgehend denselben oder ähnlichen Herausforderungen gegenüberstehen.
