SECURITY insight 6/10

Organisation
Organisation
Foto: Wladimir Wetzel - Fotolia.com
IT-Wächter gehören nicht
in die IT-Abteilung
Transparenz und Überblick durch ganzheitliches Compliance- und Risikomanagement
Von Helge Schmidt und Ellen Wüpper
Fällt der Jumbo aufs Rechenzentrum, ist’s selbst dann vorbei mit der Geschäftstätigkeit,
wenn die Trümmer beseitigt und die Belegschaft wieder gesund ist.
Zugegeben, ein übertriebenes Beispiel. Doch viel anders verhält es sich auch
nicht, wenn die Server im Hochwasser versinken oder ein gerade entlassener
Mitarbeiter das Netzwerk manipuliert. Eine Reihe von Unternehmenskrisen, Firmenzusammenbrüchen
und prominenten Betrugsfällen zeigen das immer wieder.
Dabei ist es sogar gesetzlich vorgeschrieben, für solche Vorfälle gerüstet zu
sein. Doch der Umgang mit den Regelungen zum IT-Risikomanagement lässt in
der Praxis zu wünschen übrig – wie oft bei anderen Sicherheitsangelegenheiten
im Übrigen auch. Die Ursachen: fehlendes Risikobewusstsein, unklare Verantwortlichkeiten,
ungenügende Kontroll- und Informationsmechanismen im Unternehmen.
Marktforscher bestätigen weltweit den Trend, dass zumindest große
Unternehmen bei Compliance und Risikomanagement einem ganzheitlichen,
integrierten und prozessgesteuerten Ansatz folgen. Doch bei kleinen Firmen und
Mittelständlern liegt Vieles im Argen. Dabei benötigen Unternehmen besonders
in Krisenzeiten Transparenz der wesentlichen Risiken, die aus den Geschäftsprozessen
resultieren, sowie die Möglichkeit, kontrolliert damit umzugehen.
Ohne eine systematische Methode, die
an den individuellen Erfordernissen des
Unternehmens ausgerichtet ist, dabei
alle branchenspezifischen Anforderungen
abbildet, die Compliance berücksichtigt
und die vollständige Analyse und
Behandlung aller IT-Risiken erlaubt, wird
das IT-Risikomanagement nur schwerlich
das gewünschte Resultat bringen.
Der Gesetzgeber macht in Sachen IT-
Risikomanagement die unterschiedlichsten
Vorgaben. Zu den wichtigsten
Regelwerken zählen KonTraG, Corporate
Governance Kodex, die deutschen Rechnungslegungsstandards,
Sarbanes-Oxley
Act (SOX), die 8. EU-Richtlinie (EuroSox)/
Bilanzmodernisierungsgesetz sowie Basel
II. Diese Gesetze werden ergänzt durch
eine Vielzahl weiterer, eher für die operative
Arbeit relevanter Gesetze und Verordnungen,
etwa Bundesdatenschutz- und
Telekommunikationsgesetz. Hinzu kommen
weitere Regularien, die sich beispielsweise
aus der Geschäftstätigkeit ergeben,
also branchenspezifische Vorgaben und
Normen zum Qualitätsmanagement bis hin
zu vertraglichen Verpflichtungen gegenüber
Kunden und Lieferanten.
Auch wenn diese Aufzählung nicht vollständig
ist, so wird doch deutlich, dass
den vielfältigen Anforderungen nur mit
einer effizienten Business-Management-
Lösung beizukommen ist, um ein methodisches,
integriertes, strukturiertes, zielgerichtetes
und flexibel auswertbares
Verfahren zu etablieren. Im Ergebnis
erreicht man hohe Transparenz bei Compliance
und IT-Risikomanagement und
über den daraus resultierenden effektiven
Kapitaleinsatz die Optimierung
der Investitionen auf die wesentlichen,
geschäftskritischen Prozesse.
CIOs tragen
die Verantwortung!
Vorstände und andere im Unternehmen
Verantwortliche sind sogar haftbar, wenn
sie die (IT-)Risiken ihres Geschäfts ignorieren
und kein Überwachungssystem
eingerichtet haben. Das gilt auch für die
IT-Verantwortlichen, die ein angemessenes
IT-Sicherheitsniveau schaffen müssen,
da strafrechtlich relevante Verstöße
Quick Check: IT-Risikomanagement und Compliance
• Managen Sie die Sicherheitsziele
im Unternehmen systematisch,
methodisch, ganzheitlich und kontinuierlich?
• Steigern Sie die Effizienz aller
bestehenden und künftigen Sicherheitsmaßnahmen
durch lückenlose,
permanente Überprüfung der IT-
Risiken und der Compliance durch
das PDCA-Verfahren (Plan-Do-
Check-Act)?
• Ist es Ihnen bereits gelungen, die
internen und externen Aufwendungen
im Bereich Informationssicherheit
durch die Einführung und den
Betrieb eines ISMS nachhaltig zu
reduzieren?
• Sind die Erfordernisse aus dem
Risiko- und Maßnahmenmanagement
so transparent, dass ein gezielter und
optimierter Einsatz der Sicherheitsinvestitionen
gewährleistet ist?
• Kontrollieren Sie die Umsetzung
der Maßnahmen aus dem IT-Risikomanagement?
• Arbeiten Sie nach „Best Practice“
und verfügen Sie über bekannte und
akzeptierte Richtlinien zum Informationssicherheitsmanagement?
• Sind Sie in der Lage, die Situation
im Unternehmen tagesaktuell zu
reporten und schnelle und wiederholbare
Ergebnisse zu erzielen?
• Erhöhung Sie das Vertrauen von
Kunden, Lieferanten und Banken
(Wettbewerbsvorteil) durch den
Nachweis eines international
anerkannten Vorgehens zum
Informationsschutz?
• Verfügen Sie über eine Tool-Unterstützung,
die integriert die komplexen
Aufgabenstellungen mit umfangreichen
Funktionen unterstützt?
Falls Sie diese Fragen verneinen, kann
die Informationssicherheit im Unternehmen
durch methodisches Vorgehen
in Verbindung mit Tool-Unterstützung
nachhaltig optimiert und damit ein
wesentlicher Betrag zum weiteren
Unternehmenserfolg geleistet werden!
40 Security insight
6/2010 41