Die Zukunft der Cyber-Kriminalität

2 gtr | April 2007 gtr | April 2007
Umgang mit
riSiken
Sichern Sie die
position ihrer itabteilung,
indem Sie
geschäftsanforderungen
bei Sicherheitsentscheidungen
den
vorrang lassen.
von Daniel J. Molina
Weiter oben in dieser Ausgabe wurde erläutert,
wie böswilliges Verhalten Unternehmen und
Privatpersonen schädigen kann. Außerdem
wurde einige Schritte genannt, wie wir
uns davor schützen können. Gerade für
Unternehmen besteht jedoch der beste Schutz
vor zukünftigen Sicherheitsbedrohungen
darin, einen umfassenden und integrierten
Verteidigungsplan zu schaffen. Bei McAfee
wird das als Sicherheitsrisikomanagement
bezeichnet. Wenn Sie dieses Ziel anstreben
und einen gut organisierten Schutzplan
implementieren, begeben Sie sich dadurch
in eine starke, sichere Position. Behalten
Sie jedoch Ihre bisherigen Ansätze bei,
sehen Sie sich der gigantischen Aufgabe
gegenüber, Ihr Unternehmen vor immer
komplexeren Gefahren zu schützen.
Wenn wir den Begriff „Risikomanagement“
verwenden (genauer:
„Sicherheitsrisikomanagement“), ruft das
unterschiedliche Vorstellungen hervor:
Wenn wir den Begriff
„Risikomanagement“ verwenden (genauer:
„Sicherheitsrisikomanagement“), ruft das
unterschiedliche Vorstellungen hervor:
• Für IT-Experten bedeutet Risikomanagement
die Überwachung von Onlinezeiten und
Konfigurationen, damit die von ihnen
betreuten Geräte mit internen Richtlinien
und Vorschriften konform sind. Nur
so können sie das IT-Netzwerk des
Unternehmens in fehlerfreiem Betrieb halten.
• Für Systemprüfer bedeutet
Risikomanagement die Übereinstimmung
mit bindenden externen Vorschriften
und internen Richtlinien, damit das
Unternehmen beweisen kann, dass es
die vorgeschriebenen Regeln einhält.
• Für Sicherheitsprofis bedeutet
Risikomanagement, die Schwachstellen
und Bedrohungen bei kritischen Geräten
so gering wie möglich zu halten.
• Für Unternehmenseigentümer
bedeutet Risikomanagement, die
geschäftliche Tätigkeit aufrecht zu
erhalten und Geld zu verdienen.
Diese Definitionen sind innerhalb ihrer
jeweiligen eingeschränkten Sichtweise richtig.
Die Unterschiede zwischen ihnen sorgen jedoch
im Betrieb wie im zwischenmenschlichen
Bereich für Spannungen. Für jedes Team
gelten eigene Prioritäten und Richtlinien
für den Umgang mit Sicherheitsrisiken. Im
besten Fall ist das Ergebnis ihrer Bemühungen
die verstärkte Befolgung von Vorschriften.
Im schlimmsten Fall werden Investitionen
in IT-Überwachung und -Schutz getätigt,
die nicht miteinander vereinbar sind.
Dadurch werden Unternehmenressourcen
und die Richtlinienkonformität gefährdet.
Anders ausgedrückt: Bares Geld und
Verdienstmöglichkeiten werden aufs
Spiel gesetzt. Diese unterschiedlichen
Sichtweisen legen auch den Grundstein für
ein mögliches Schreckensszenario, bei dem
nach einem katastrophalen Fehler ihres
IT-Risikomanagements alle Beteiligten
versuchen, den anderen die Schuld in die
Schuhe zu schieben. Und das Schlimmste an
diesen Katastrophen ist, dass sie fast immer
ganz einfach verhindert werden könnten.
Was ist Risikomanagement?
Obwohl Risikomanagement auf
verschiedene Weise betrachtet werden
kann, eignet sich die Definition des
Committee of Sponsoring Organizations
of the Treadway Commission (COSO) für
„Risikomanagement in Unternehmen“ am
besten für die IT-Sicherheitsbranche:
„Risikomanagement im Unternehmen ist ein
Prozess, der vom Vorstand, dem Management
und anderem Personal des Unternehmens
durchgeführt und durch Festlegung der
Strategie im ganzen Unternehmen angewandt
wird. Risikomanagement wird angewendet, um
Ereignisse auszumachen, die sich negativ auf
das Unternehmen auswirken könnten, und um
Risiken zu behandeln, die das Unternehmen
selbst bewältigen kann. Auf diese Weise wird
eine angemessene Sicherheit beim Erzielen
der Unternehmensziele gewährleistet.“ 1
Das größte Hindernis beim
Implementieren eines IT-
Sicherheitsrisikosystems ist die Trägheit.
Eine umfassendere Version für die IT-
Sicherheit erhalten wir aber erst, wenn wir
die Grundlage von COSO um die folgende
Definition von Gartner erweitern:
„Beim Sicherheitsrisikomanagement werden
Sicherheitsprozesse verbessert, einige Aspekte
der Konformitätsberichterstellung automatisiert,
IT-Sicherheitsrisiken eingeschätzt und
Maßnahmen zu ihrer Verringerung gefördert.“
Wenn wir die IT-Sicherheit diesen
Definitionen annähern und ihre Ziele in die
gesamten Unternehmensziele integrieren,
können wir eine unternehmensweite
Risikostrategie entwickeln. Kurz gesagt
beweist ein IT-Risikomanagementsystem,
dass wir alle Organisationsebenen und
Unternehmensaspekte berücksichtigen müssen.
Nur so kann gewährleistet werden, dass auf
dem Gebiet des IT-Risikomanagements die
richtigen Entscheidungen getroffen werden.
Sicherheitsrisikomanagement kann nie für
sich allein stehen. Sobald wir diese Tatsache
„Enterprise Risk Management—Integrated Framework“ (Risikomanagement im
Unternehmen – Integriertes Framework), http://www.coso.org/Publications/ERM/
COSO_ERM_ExecutiveSummary.pdf
verinnerlicht haben, können wir mit beginnen,
aus dem geschäftlichen Blickwinkel eine Strategie
zum Schutz des Unternehmens zu entwickeln.
Schwierigkeiten bei der
Implementierung
Von einigen Anbietern wurden zahlreiche
voreilige Erklärungen zu umfassendem IT-
Risikomanagement veröffentlicht, die mehr
irritierten, als wirklich hilfreich zu sein. Vor
einiger Zeit konnte Risikomanagement eher
als Schwachstellenmanagement bezeichnet
werden und war damit das beste Barometer für
die Einstellung eines Unternehmens zu diesem
Thema. Seit die IT-Abläufe jedoch im Laufe der Zeit
reiften und nun auch internationale Netzwerke
umfassen (z. B. die Internationale Organisation
für Normung und die IT Infrastructure Library),
lernen wir mit jedem Zyklus mehr und können
dieses Wissen zukünftig anwenden. Einige Zyklen
bringen zusätzliche Schutzebenen, während in
anderen die Effizienz verbessert und die Fehler
in vorhandenen Prozessen verringert werden.
Jedes Mal findet „Learning by Doing“ statt, und
mit jedem Mal verbessern wir unsere Sicherheit
und Effizienz. Beim Anpassen unserer Aktionen
an Risikomanagementsysteme stellen wir immer
wieder fest, dass die Ideen selbst nicht neu sind.
Sie beruhen auf bewährten Vorgehensweisen
(z. B. ISO 2 001) und sollten mit der aktuellen
Situation in einem gesunden Unternehmen
übereinstimmen. Der größte Unterschied
besteht darin, dass die Aktionen in diesem Fall
eine bestimmte Zielrichtung haben und keine
Ruhezone der Untätigkeit zugelassen werden
darf. Das Zusammenfassen aller Teams zu einem
gemeinsamen Ganzen bringt kulturellen und
organisatorischen Gewinn.
Das größte Hindernis beim Implementieren
eines IT-Sicherheitsrisikosystems ist
die Trägheit (der Widerstand gegen
Veränderungen). Wenn Sie nicht gelegentlich
die Zielsetzung Ihrer IT-Sicherheit korrigieren,
wird sie eine Richtung einschlagen, die Sie
nicht beabsichtigt haben. Tatsächlich werden
Sie sogar feststellen, dass die Situation
vollkommen verfahren ist und Sie umso größere
Anstrengungen unternehmen müssen, um
wieder „auf einen grünen Zweig zu kommen“.
Organisationen, die keinen
Risikomanagementplan verwenden und
sich auf reaktives Bedrohungsmanagement
beschränken, werden feststellen müssen, dass
das von ihnen beschützte Unternehmen an
ihnen vorbeizieht und sie im Regen stehen
lässt. Bloßer Schutz um des Schutzes willen
genügt nicht, und solche Aufgaben können
problemlos an Dritte ausgelagert werden, die
einen verwalteten Sicherheitsdienst anbieten.