tools - Bites, Bytes and my 5 cents

Kammerkonzert im Großen Saal – IT Sicherheit für KMUliche Risiken abzuschätzen. Im einfachen Fall gilt fürsämtliche assets eines Unternehmens ein geringer bismittlerer Schutzbedarf. Dann müssen lediglich grundlegendeAnforderungen erfüllt werden, etwa die unternehmerischeSorgfaltspflicht in Bezug auf die Datensicherheit,die gesetzlichen Vorgaben des Datenschutzesund ggf. Vertraulichkeitsvereinbarungen mit Kooperationspartnern.Für den Fall, dass betriebliche assets kritische Bedeutunghaben und deren Verlust oder Offenlegungkatastrophale Folgen für das Unternehmen nach sichziehen kann, sind erweiterte Sicherheitsmaßnahmenerforderlich. Das Gleiche gilt bei besonderen Anforderungenan die Verfügbarkeit an Systeme, z.B. beim Betriebvon Webshops.Im nächsten Teil werden alle oben genannten 15 Kategoriender BSI Grundschutzkataloge durchgearbeitet.Dabei fällt in kleineren Unternehmen die Antwort fürmanche Gebiete vielleicht ganz kurz aus. Zum Beispielbraucht keine explizite Archivierung sämtlicher Datenstattzufinden, wenn alle Daten im LAN verfügbar sindund die Datensicherung gut organisiert ist. Es gilt rechtlichder Grundsatz, Unterlagen "geordnet aufzubewahren"(genau wie für altmodische Aktenordner auch).In jeder der 15 Kategorien können Kriterien des CM-MI Reifegradmodells für einen geführten Prozess angewandtwerden. Wie bereits beschrieben, ist der grundlegendeUnterschied zwischen einem durchgeführtenund einem geführten Prozess der, dass im ersten Falllediglich Prozessziele festgelegt sind und der Prozesseingerichtet wurde, im zweiten Fall außerdem Funktionund "Sinnhaftigkeit" des Prozesses regelmäßig geprüftwerden. Maßnahmen zum Erreichen des Prozessreifegrads2 sind:• Systeme und Einrichtungen gut planen (z.B. mitLeitlinien, Zuweisung von Ressourcen, Aufbau vonKompetenz)• Gute Kommunikation mit Beteiligten (sowohl Anwendernals auch Vorgesetzten der IT-Abteilung)• Prozesse sorgfältig überwachen und regelmäßigbewertenCMMI Reifegrad 1Beim Reifegrad 1 werden Arbeitsabläufe gewöhnlich ad hocund chaotisch durchgeführt. Der Erfolg hängt in solchen Organisationenvon der Kompetenz und dem Engagement derMitarbeiter ab und nicht vom Einsatz eines bewährten Prozesses.Trotz dieses Durcheinanders bringen Organisationenmit dem Reifegrad 1 häufig funktionierende Produkte undDienstleistungen hervor. Allerdings überschreiten sie oft dasBudget und halten ihre Termine nicht ein.Organisationen mit dem Reifegrad 1 zeichnen sich aus durcheine Neigung, sich zu viel zuzumuten, zur Vernachlässigungvon Arbeitsabläufen in Krisenzeiten und die Unfähigkeit, Erfolgezu wiederholen.Es ist die Erfahrung in vielen kleineren Unternehmen,dass dem Management von IT-Prozessen zu wenigAufmerksamkeit geschenkt wird.Der letzte Teil des IT-Checks, die Auswertung, ist derinteressanteste und anspruchsvollste Teil, weil dabei dieZusammenhänge zwischen Unternehmen, Zielsetzung,organisatorischen Vorgaben und den technischen undpersonellen Möglichkeiten hergestellt werden müssen.Den Ergebnissen der Risikoanalyse folgend haben dieverschiedenen IT-Komponenten unterschiedlich großeBedeutung. Instabilitäten oder Unsicherheiten einzelnerProzesse stellen unterschiedlich große Bedrohungenfür das Unternehmen dar. Es müssen vorhandeneMaßnahmen bewertet und ggf. bessere Methodenentwickelt werden. Dafür sind Erfahrung, Überblick undEinschätzungsvermögen nötig, kurz: Da ist Urteilskraftgefragt.Mit diesem IT-Check erhält man so nicht nur einenÜberblick über alle Komponenten der IT, sonderndazu auch eine systematische und objektiveBewertung der Prozesse, nebst praktischen Handlungsempfehlungen,um die Unternehmensrisikenzu vermindern.Es lohnt sich, in dieses Kammerkonzert zu gehen!Im Internet• http://www.kardel-it.de/download.html – Weitere Informationenzur Optimierung von IT-Prozessen in KMU mit Beschreibungeines Auditprogramms und ausführlichemFragenkatalog;• http://www.cert.org/octave/octaves.html – Risikomanagementnach OCTAVE®-S;• https://www.bsi.bund.de/cln_183/DE/Themen/ITGrundschutz/itgrundschutz_node.html– IT Grundschutz desBundesamtes für Sicherheit in der Informationstechnik;• http://www.sei.cmu.edu/library/abstracts/reports/09tr001.cfm – CMMI Website des SEI: CMMI for Services, Version1.2.DR. DANILO KARDELDer Autor ist freiberuflicher IT-Berater mit Schwerpunkt IT-Sicherheitin kleinen und mittelständischen Unternehmen. Erarbeitet unter anderem im Rahmen regionaler Wirtschaftsförderungsmaßnahmenals Auditor für KMU und als Autor fürdas Fachjournal iX des Heise Verlags.Kontakt mit dem Autor: dk@kardel-it.dehakin9.org/de 25