computerwoche.de

Archiv

Social Networks als Infoquelle

Die neuen Bedrohungen aus dem Web

17.08.2010
Von Holger Gerlach

Kennzahlen helfen bei der Risikobewertung

Eine wichtige Frage ist, wie sich die IT-Abhängigkeit transparent darstellen und ein angemessenes Risiko-Management einführen lässt. Die Lösung liefert das Informationssicherheits-Management-System (ISMS, siehe Textkasten). Die internationale Norm ISO/IEC 27001 formuliert Anforderungen an Einführung, Betrieb, Wartung und Verwaltung eines ISMS. Die Norm schlägt zudem Arbeitsschritte vor, die etwa die verwendeten IT-Anwendungen den Geschäftsprozessen zuordnen und die sensiblen und wertvollen Daten des Unternehmens identifizieren.

Daraus resultieren simple Kennzahlen wie etwa die Anzahl unentbehrlicher IT-Anwendungen und -Systeme pro kritischen Geschäftsprozess. Mit dieser Erhebung lassen sich Risiko und Auswirkungen fundiert einschätzen. Die gemeinsame Betrachtung der Geschäftsprozesse schafft auch eine gute Kommunikationsbasis zwischen Geschäftsleitung und IT-Leitung. Mit dem Rückhalt des Unternehmens-Managements kann die IT ihre Strategie in der Kommunikation gegenüber den Fachbereichen verbessern.

Statt vor Risiken zu warnen, kann sie künftig Lösungen bieten. Das bedeutet konkret, dass sie IT-Sicherheit nicht mehr auf Basis von Warnungen und Angstszenarien durchsetzen muss. Die transparente Darstellung der unternehmensweiten IT-Abhängigkeit verbessert das Risikobewusststein und das Verständnis, wenn technische und organisatorische Veränderungen erforderlich sind.

Relevante Risiken erkennen

Solange die IT weiter die Unternehmensprozesse durchdringt, werden sich auch die Risiken erhöhen. Komplexe Methoden des Risiko-Managements bleiben wirkungslos, solange nicht alle Verantwortlichen den Ist-Zustand kennen und Einigkeit über Maßnahmen erzielen. Ein prozessbasierendes Informationssicherheits-Management ist das Fundament für eine erfolgreiche Bekämpfung beziehungsweise eine Verringerung von IT-Risiken. Anstatt Security im Gießkannenprinzip einzuführen, lassen sich Risiken genau einordnen und mit angemessenem Aufwand bekämpfen. Nur wer über den Einfluss der IT auf die Geschäftsprozesse Bescheid weiß, kann alle relevanten Risiken erkennen. (jha)

Merkmale eines ISMS

Ein Informationssicherheits-Management-System (ISMS)

  • ist eine Aufstellung von Verfahren und Regeln, um die Informationssicherheit im Unternehmen zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern;

  • hat eine Sicherheitsstrategie zum Ziel und schafft Rollen wie etwa den IT-Sicherheitsbeauftragten (auch Informationssicherheits-Beauftragter oder Chief Information Security Officer, CISO, genannt);

  • betreibt Audits und inventarisiert IT-Anwendungen und -Systeme. Die IT-Installationen werden den relevanten Geschäftsprozessen zugeordnet;

  • wird in der Norm ISO/IEC 27001 beschrieben. Eine erweiterte Form bieten die IT-Grundschutz-Standards des Bundesamts für Sicherheit in der Informationstechnik (BSI);

  • bietet eine Basis für Unternehmen und Behörden, um sich nach ISO-Norm und BSI-Standard zertifizieren zu lassen.