Die EDV ist heute zu einem existentiellen Faktor geworden. In immer mehr Branchen muss die IT 365 Tage im Jahr, 24 Stunden täglich unterbrechungsfrei zur Verfügung stehen – oft sogar konzernübergreifend und weltweit. Umso wichtiger sind deshalb ausfallsichere und hochverfügbare IT-Systeme und sichere Infrastrukturen. Eine einmalige Anstrengung reicht dafür jedoch nicht aus. Nur ein abgestimmtes IT-Risiko-Management mit regelmäßiger Überprüfung der Prozesse und hochwertige Schutzmaßnahmen können eine hohe Zuverlässigkeit der IT-Systeme garantieren.
Aktives Risiko-Management
Immer mehr steht auch die Geschäftsführung in der Pflicht: Das Bundesdatenschutzgesetz sowie das Kontroll- und Transparenzgesetz (KonTraG) verpflichten das Management zu einem aktiven IT-Risiko-Management. Im KonTraG heißt es explizit: „Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden.“ Manager müssen deshalb dafür sorgen, dass die Wiederherstellungskosten bei Datenverlust und der wirtschaftliche Schaden beim Ausfall der EDV so gering wie möglich bleiben. Haftungsrechtliche Konsequenzen können sich für die Verantwortlichen auch schon aus fahrlässigen oder grob fahrlässigen Handlungen beim Umgang mit der IT ergeben.
Fest steht: Den Totalausfall der IT kann heute kein Unternehmen mehr verkraften. In vernetzten, unternehmensübergreifenden Supply Chains hängen von der reibungslosen Datenverarbeitung nicht nur die eigene Firma, sondern auch die Prozesse der Lieferanten und Auftraggeber ab. „Mit zertifizierter Sicherheit signalisiert man den Partnern Verlässlichkeit“, sagte IT-Leiter Matthias Kunz von der Weber GmbH der Fachzeitschrift „CIO“. „In den eng verzahnten Lieferketten der Automobilbranche ist die Ausfallsicherheit der IT ebenso wichtig wie die der Produktionsmaschinen“, so Kunz.
Und das gilt nicht nur für die Automobilbranche: Spionage, Einbruch, Vandalismus, Sabotage, Terrorismus, Überschwemmung, Blitzschlag oder Feuer können überall innerhalb kürzester Zeit zu kostspieligen Störungen führen. Schätzungen gehen davon aus, dass rund 20 Prozent aller Down Times, System- oder Netzwerkausfälle auf physikalische Ursachen zurückzuführen sind. Dabei werden nur die wenigsten Ausfälle dieser Art überhaupt bekannt, denn die meisten Unternehmen sprechen darüber nur ungern. Wer will schon Kunden und Partnern gegenüber eingestehen, dass die eigene IT-Infrastruktur schlecht abgesichert ist?
Vernachlässigter Schutz
Fakt ist aber auch: Während bei vielen Unternehmen die logische, technische sowie die Prozesssicherheit der Systeme bei der Sicherheitsbetrachtung bereits im Fokus der Verantwortlichen stehen, wird die physikalische System- und Datensicherung oft sträflich vernachlässigt. Meist stehen in den Business-Continuity-Plänen Systeme und Anwendungen im Vordergrund. Räumliche Gegebenheiten geraten erst dann ins Blickfeld, wenn unternehmensweite Sicherheitsrichtlinien eingeführt werden oder im Serverraum oder Rechenzentrum der Platz knapp wird. Erst ein umfassendes IT-Risiko-Management-Konzept räumt dem physischen Schutz der Systeme und Daten den richtigen Stellenwert ein. Die IT-Betriebsumgebung bildet – neben den eigentlichen Rechner- und Speichersystemen – einen wesentlichen Baustein eines umfassenden Konzepts zum Schutz der Unternehmensinfrastruktur.