Security by Design - Referenzmodell für digitale Wertschöpfung

Ein Modell, welches dabei helfen kann, gezielt und zügig einen organisatorischen Wandel einzuleiten und IT-Sicherheit nicht mehr in den Hintergrund der Produktentwicklung rückt, ist Security by Design.

Security by Design besagt im Wesentlichen, dass IT-Sicherheitsmaßnahmen und -technologien schon unmittelbar bei der Produktentwicklung mit einbezogen werden. Somit werden die Produkte nicht schon hinsichtlich der Prozesslogik entwickelt und erste Prototypen oder MVPs erstellt, die erst im Nachgang einen IT-Sicherheitscheck erhalten und mit Maßnahmen angefüttert werden. Mit diesem Prozessverfahren werden von Beginn an und in jedem Projektschritt gleichwertig die IT-Sicherheitskomponenten mit einbezogen und so frühzeitig ein Teil des fertigen Produktes. So gibt es keine Kompromisse, sondern eine Co-Existenz zwischen Performance, User Experience und Security.

Dazu müssen noch mehr Instanzen beziehungsweise Verantwortungsbereiche gleichzeitig zur Produktentwicklung herangezogen werden. Dies sorgt aber auch im Optimalfall dafür, dass die IT-Sicherheitskultur im Unternehmen weiter reift und die Präsenz des Themas wieder stärker in den Vordergrund rückt.

In jeder Projektphase kommen so die jeweiligen Produktverantwortlichen und wenn nötig auch strategischen Entscheider hinzu, die gemeinsam mit den CISOs und deren Mitarbeitern an einer gemeinsamen Lösung arbeiten. Dies setzt sich dann auch in der Implementierungs-, Produktiv- und Optimierungsphase durch, wo nicht nur am Produkt, sondern folgerichtig auch an der IT-Sicherheit gearbeitet wird.

Security by Design (ebenso analog verwendet auch Privacy by Design) kann somit als maßgebende Leitlinie dafür sorgen, dass die Unternehmen schneller und ohne die Notwendigkeit der Kompromisse wertvolle und vor allem langfristig tragbare Innovationen erbringen können.

Aber auch für die Kernprobleme des derzeitigen Sicherheits- und Datenschutz-Diskurs können sie einen Ausweg bieten. Denn viele Unternehmen haben sich beispielsweise auch noch nicht mit den umfangreichen Maßnahmen zur EU-Datenschutzgrundverordnung befasst. Die Mehrheit sieht ein klares Problem in der Umsetzbarkeit, insbesondere aufgrund des sehr überschaubaren Zeithorizonts.