Keramische Rundschau 3-24

SCHWERPUNKTE & REPORTAGEN
CYBERSECURITY
Wo beginnen und wo aufhören? Teil 1
Das Thema Informationssicherheit ist
inzwischen allgegenwärtig, nahezu keine
Woche vergeht ohne Horrormeldungen
über Cyber-Angriffe, Datendiebstähle,
Erpressungen, Online-Betrugsfälle und
ähnliche Vorfälle. Dies wirft bei vielen
Entscheidungsträgern die Frage auf, ob
die eigene IT-Umgebung ausreichend
sicher ist und ob alles Erforderliche zum
Schutz der Systeme bzw. Daten getan
wird.
Es liegt in der Verantwortung der
obersten Führungsebene, die Systeme
und Informationen des eigenen
Unternehmens sowie von dessen Kunden
und Geschäftspartnern zu schützen. Aufgrund
der Komplexität und des Umfangs
der Thematik besteht die Aufgabe der Geschäftsführung
bzw. des Top-Managements
primär in der Initiierung des Sicherheitsprozesses
und dessen Kontrolle, sowie der
Priorisierung der Thematik – des Weiteren
natürlich in der entsprechenden Bereitstellung
von Ressourcen in monetärer und personeller
Hinsicht. Auch wenn die operative
Umsetzung delegiert wird, ist die letztendliche
Übernahme der Verantwortung durch
die Führungsebene für den Aufbau und laufenden
Betrieb einer Umgebung mit angemessener
Sicherheit unverzichtbar.
Letztendlich führen Versäumnisse in
diesem Bereich immer zum Risiko von
Betriebsunterbrechungen, Datenverlusten,
schädlichen Handlungen etc., sowie zu damit
einhergehenden Folgen wie materiellen
und Image-Schäden bis hin zu u.U. strafrechtlichen
Konsequenzen und betrieblicher
Existenzgefährdung.
WO LAUERN DIE GEFAHREN?
Um sich gegen Bedrohungen schützen
zu können, ist vorweg die Frage zu klären,
welche Risiken hier überhaupt existieren.
In der Praxis existiert eine Vielzahl von Gefahren,
wie zB:
o Elementare Bedrohungen durch Feuer,
Wasser, Katastrophen etc.
o Ausfälle von Versorgungssystemen und
Kommunikationsnetzen wie Strom, Internet,
Telefonie usw.
o Ausfälle bzw. Fehlfunktionen von Geräten,
Komponenten, Software
o Verlust bzw. Diebstahl von Geräten, Datenträgern,
Daten
o Ausspähen von Informationen
o Unbefugter Zutritt zu bzw. Zugriff auf
Systeme(n)
o Missbrauch von Systemen
o Sabotage
o …
Die Kernaufgabe auf dem Weg zu einem
dauerhaften Schutz vor diesen Bedrohungen
besteht darin, nicht nur aufgrund
der jeweils gerade aktuellen Bedrohungslage
in Form von kurzfristigem Aktionismus
einzelne technische oder organisatorische
Maßnahmen zu setzen, sondern ein längerfristig
funktionierendes Konzept zu erstellen,
das bei kontinuierlicher Evaluierung
und Anpassung an neue Gegebenheiten
und Weiterentwicklung einen umfassenden
Ansatz zur Gewährleistung eines angemessenen
Schutzniveaus bietet.
WO BEGINNEN UND WO AUFHÖREN?
Bei der Planung und Umsetzung von Sicherheitsmaßnahmen
tauchen in der Praxis
immer wieder folgende Fragen auf:
- Was ist ein „angemessenes Schutzniveau“?
- Reichen die bereits ergriffenen Maßnahmen
aus?
- Wo soll man hier beginnen und wo aufhören,
wenn hundertprozentige Sicherheit
ohnehin nicht erreichbar ist?
AUTOR
Mag. Ing. Gottfried Schlttenkopf
Geschäftsführer I-SYSTEMS
IT-Service GmbH
Betreut und beratet seit 25 Jahren
Unternehmen beim Aufbau, dem
Betrieb und der Absicherung von
IT-Umgebungen.
I-SYSTEMS IT-Service GmbH
Sellrainer Straße 3
6175 Kematen in Tirol
Tel. +43 (0) 512 566961 20
eMail office@iits.at
www https://www.i-systems.at
Da es Sicherheit nicht zum Nulltarif
gibt, und 100 % nicht erreichbar sind, stellt
sich oft die Frage, wo das angemessene Verhältnis
zwischen Kosten und Nutzen liegt,
um Maßnahmen noch wirtschaftlich rechtfertigen
zu können und im hoffentlich nie
eintretenden Anlassfall sich nicht dem Vorwurf
der Vernachlässigung von Pflichten
auszusetzen.
Eine Institution, die sich diesen Fragen
sehr intensiv widmet, ist das deutsche
Bundesamt für Sicherheit in der Informationstechnik
(BSI). Es pflegt u.a. die BSI-
Standards 200-1 bis 200-4 sowie das „IT
Grundschutz Kompendium“, welche sich
gemeinsam als „IT-Grundschutz“ zum
Standardleitfaden für Informationssicherheit
etabliert haben. Selbstauferlegtes Ziel
ist es, „einen angemessenen Schutz für alle
Informationen einer Institution zu erreichen“.
Der ganzheitliche Ansatz deckt dabei
die „organisatorischen, personellen,
infrastrukturellen und technischen Sicherheitsanforderungen“
ab, mit dem Zweck,
ein Sicherheitsniveau zu erreichen, „das für
24
3 l 2024