Der Deutsche Bundestag, ein Gymnasium und ein Seitensprung-Online-Portal waren die bekanntesten IT-Sicherheitsaufreger im deutschsprachigen Raum. Denn sie wurden Opfer eines erfolgreichen Hacks und mussten den Verlust sensibler Daten hinnehmen.
Hackerangriffe mit dem Verlust sensibler Daten sind der Supergau einer jeden IT-Abteilung. Um das zu vermeiden, ist es wenig sinnvoll, einfach nur auf die neueste Technologie zu setzen und zu versuchen, punktuell Schwachstellen abzudecken. Es braucht vor allem eine ganzheitliche IT-Sicherheitsstrategie, wie Bernhard Weber, Experte für IT-Sicherheit beim führenden IT-Beratungs- und Systemintegrationsunternehmen Msg in München und Sitz in Wien. Er erklärt, mit welchen fünf wesentlichen Arbeitsschritten Unternehmen das Thema Sicherheitskonzeption angehen sollten.
Die Analyse
Zunächst müssen insbesondere alle kritischen Daten und Systeme des Unternehmens identifiziert werden, um deren Schutzbedarfe für die Schutzziele der Informationssicherheit (Vertraulichkeit, Integrität, Verfügbarkeit) zu ermitteln. Hierbei müssen insbesondere die Datenverantwortlichen involviert sein, da nur sie eine sinnvolle Einschätzung der maximalen Schadenshöhen abgeben können. Auch das Erkennen einer Datenschutzrelevanz ist in dieser Phase wichtig.
Wichtig: Risikobewertung
Anschließend erfolgt für den Ist-Zustand eine Risikobewertung. Dabei wird die potenzielle maximale Schadenshöhe der Eintrittswahrscheinlichkeit von Gefährdungen gegenübergestellt. Beispiele dafür sind: Welche Folgen hätte ein Vertraulichkeits-Verlust bestimmter Daten? Wie wahrscheinlich ist der Eintritt einer entsprechenden Gefährdung? Hieraus ergibt sich ein „bewertetes Risiko“.
Um Datenverlust zu vermeiden, bedarf es einer ganzheitlichen IT-Sicherheitsstrategie.
Die Sicherheitsanforderungen
Die Risikobewertung zeigt, worin die vordringlichsten Risikoaspekte bestehen. Diese gilt es mit den unternehmenseigenen Compliance- und Sicherheitsanforderungen sowie mit Gesetzesvorgaben und Best-Practices abzugleichen. Wesentliches Ziel hierbei ist es, relevante Sicherheitsanforderungen zu identifizieren und diese im Sicherheitskonzept zu verankern. In großen Unternehmen dienen häufig Anforderungskataloge zur IT-Sicherheit als Richtlinien. Wenn noch keine entsprechenden Werke vorliegen, besteht auch die Möglichkeit, sich an gängigen Sicherheitsstandards, wie ISO/IEC 27001 oder ISO 27001 nach Grundschutz, zu orientieren.
Die richtigen Maßnahmen
Mit dem bisher erarbeiteten Wissen über Risiken und Sicherheitsanforderungen folgt nun eine Ausarbeitung möglicher sinnvoller Maßnahmen. Hierbei ist eine umfassende Abstimmung mit den Systemverantwortlichen und Architekten erforderlich, um eine Sicherheitsarchitektur auszuprägen, die dem Zweck angemessen erscheint und zudem keine KO-Kriterien für Usability, Performance etc. hervorbringt.
Restrisiken realisieren
Vor der endgültigen Umsetzung der Sicherheitsmaßnahmen muss eine Entscheidung fallen, ob diese in einem ausgewogenen Kosten-Nutzen-Verhältnis stehen oder ob eventuell auch ein Restrisiko akzeptabel ist. Wenn beispielsweise die Umsetzung einer Sicherheitsmaßnahme kostspieliger ist als der maximale Schaden, der durch die Gefahren eintreten kann, ist üblicherweise eine Restrisiko-Akzeptanz durch das Management das Mittel der Wahl.
Sicherheitskonzept ist erst der Anfang
Mit der Erstellung entsprechender Sicherheitskonzepte ist ein wichtiger Schritt zur individuellen Absicherung der Unternehmensdaten, -prozesse und -infrastruktur getan. Eine gute Dokumentation und nachhaltige Unterstützungsprozesse helfen, das Konzept an den Besonderheiten des Unternehmens auszurichten sowie auch eine kontinuierliche Verbesserung – Stichwort „KVP“ – zu erreichen. Schließlich soll das Sicherheitskonzept nicht nur irgendwo abgeheftet werden, sondern weiterentwickelt und idealerweise als integraler Bestandteil der Unternehmenskultur wahrgenommen werden.
Entdecke mehr von Neues aus der Welt der Logistik | blogistic.net ©
Subscribe to get the latest posts sent to your email.
