Nur nicht den Kopf in den Sand stecken

Themenschwerpunkt „Security“ – Juli 2004 Business-Impact-Analyse erhöht die Sicherheit von Geschäftsprozessen Nur nicht den Kopf in den Sand stecken IT-Sicherheit wird in vielen Unternehmen immer noch gleichgesetzt mit Attacken von außen durch Viren, Hacker und Würmer. Fällt jedoch ein Server aus, ist die Sicherheit des ganzen Betriebs in Gefahr; die Geschäftsprozesse geraten ins Stocken. Mit Hilfe von Health-Checks lässt sich die Sicherheit von Unternehmen auf den Prüfstand stellen. Zudem kann man gezielte Maßnahmen entwickeln und die Funktionsfähigkeit von Prozessen absichern. Autor: Goswin Eisen* . Hinterher ist leider oft zu spät. Auf diesen Den Auguren zufolge ist der Markt für kurzen Satz lassen sich das Verständnis Security weltweit im vergangenen Jahr um und der Umgang mit IT-Sicherheit in rund sieben Prozent gewachsen – Unternehmen zusammenfassen. Von Tendenz heuer steigend. Allerdings hatten Vorsorge ist im praktischen Alltag oft nur Unternehmen dabei in erster Linie wenig zu sehen – noch. Die Gründe dafür technische Aspekte, also das Brot-und- liegen auf der Hand: Sicherheit kostet Butter-Geschäft im Visier. Dazu gehören Geld – rund fünf bis zehn Prozent des IT- standardisierte Technologien wie Budgets. Zudem ist unklar, wer im Antivirenprogramme, Spam-Filter, Unternehmen die Vorgaben macht, wie Firewalls, allgemeine Netzwerksicherheit „safe“ IT-Lösungen zu gestalten sind und sowie bauliche Maßnahmen an Gebäuden wer schließlich die finanziellen Mittel für und IT-Räumen. entsprechende Maßnahmen zur Verfügung stellt. Bislang jedenfalls – so lautet die allgemein geltende Meinung – In aller Kürze war vor allem die IT-Abteilung für die Sicherheit verantwortlich. Das ist jedoch Sicherheit ist keine Aufabe, die allein nur die halbe Wahrheit: Sicherheit geht von der IT zu bewältigen ist – insbe- alle an, denn sie betrifft das ganze sondere wenn es um den Schutz und Unternehmen, die IT, die die Kontinuität von Geschäftsprozessen Geschäftsprozesse und die Organisation. geht. Die Fachbereiche sind in der Und sich nicht darum zu kümmern, kommt Pflicht, die Kernprozesse zu bewerten, im Schadensfall viel teurer, als rechtzeitig wie hoch der Schaden ist, falls ein Vorsorge zu betreiben. Prozess unterbrochen wird. Eine Business-Impact-Analyse hat sich Dass IT-Sicherheit kein Zukunftsthema dazu als probates Hilfsmittel bewährt, mehr ist, hat die diesjährige CeBIT in um Schadenpotenziale zu identifizieren Hannover gezeigt. Das Angebot an und mögliche Sicherheitsmaßnahmen zu etablieren. Sicherheits-Vorträgen und –Produkten war wohl noch nie so groß. Untersuchungen der META Group bestätigen diesen Trend. - Seite 2 – Themenschwerpunkt „Security“ – Juli 2004 Sicherheitsbewußtsein ist schwach verschwinden. Darüber hinaus gehört das ausgeprägt Aufzeigen von Bedrohungsszenarien und deren Folgen für das Unternehmen und Ein weiteres großes Potenzial sehen die die Geschäftsprozesse zu den Analysten in der organisatorischen Hauptaufgaben von IT-Security. Hier ist Unterstützung – also zunächst ein das Sicherheitsbewusstsein bei den allgemeines Verständnis im Unternehmen meisten noch schwach ausgeprägt. und auch im Management für Sicherheit zu schaffen. Das beginnt damit, dass nur tatsächlich Berechtigte Zugang zu den Systemen und Daten erhalten und die kleinen gelben Passwortmerkzettel IT-Sicherheit ist vielschichtig IT IT- - Sicher- Si heits- c Bedarf IT- h Sicherheits- er konzept h Bedrohungs- ei /Risiko- ts Analyse IT- Sich erhe its- Maß IT-Sicherheitsprodukte nah - Seite 3 - Themenschwerpunkt „Security“ – Juli 2004 Wie viel es kostet, einen Server oder eine Netzverbindung zu reparieren, ist in den Unternehmen mittlerweile hinlänglich 10 Thesen zum Schutz bekannt. Welche Verluste der Firma unternehmenskritischer Infrastrukturen allerdings entstehen, wenn ein simples Stück Hardware oder auch eine Anwendung streikt, wissen die meisten 1. Der Schutz unternehmens- kritischer Infrastrukturen ist nicht. Dabei müssten sie sich folgende wegen der weitreichenden Frage stellen: Wie wichtig ist eine Konsequenzen Management- Applikation überhaupt? Wie ist die Aufgabe. Vernetzung und Abhängigkeit einzelner 2. Herstellung und Verbesserung Programme untereinander? Mit welchen der Sicherheit erfordern ein Systematisches Vorgehen. Schäden ist zu rechnen, wenn ein System ausfällt? Bei der Analyse dieser 3. Zusammenhänge und Ab- Implikationen und möglicher Seiteneffekte hängigkeiten sind zu erkennen und zu berücksichtigen. kann dann auch schon mal ein einfaches Excel-Sheet unternehmenskritisch sein, 4. Abhängigkeiten sind zu reduzieren; etwa wenn darin das unabhängige, autoarke Arbeitsmodule Produktionsprogramm oder der Input für sind anzustreben. eine Jahresplanung festgelegt ist. 5. Redundanzen für identifizierte Verschwindet diese simple Liste, läuft kritische Systeme sind einzuplanen. nichts mehr im Betrieb. Neben Produktionsstillstand und Störungen in der 6. Notfallpläne und Krisenkonzepte sind zu erarbeiten und zu proben. Supply Chain wie etwa Lieferverzögerungen gehören 7. Der Faktor Mensch ist zu Imageverluste, gepaart mit berücksichtigen (Bequemlichkeit, Gewohnheiten, Vorlieben). Börsenkurseinbrüchen, zu den größten Schadenspotenzialen. Doch die 8. Der Innentäter ist noch immer der größte Risikofaktor. drängenden Fragen können nur die wenigsten beantworten – schon gar nicht 9. Sicherheit kann nur durch die IT-Abteilung allein, denn sie ist in den Kombination aus IT-Sicherheit und materieller Sicherheit wenigsten Fällten in der Lage, die Verluste erreicht werden. abzuschätzen. 10. Maßnahmen zum Schutz unternehmenskritischer Infrastrukturen erfordern die Vorsorge ist besser Bereitstellung entsprechender Ressourcen (Geld, Personal, Zeit) und auch die Durchsetzung und Um hier für Transparenz zu sorgen und Kontrolle durch das Management. sowohl bei Unternehmenslenkern als auch bei Mitarbeitern für ausreichende Quelle: BSI (www.bsi.de) Sensibilität zu sorgen, bieten sich so genannte Security Health-Checks oder “Business Impact Analysen” an. - Seite 4 - Themenschwerpunkt „Security“ – Juli 2004 Beratungshäuser wie CSC Ploenzke Umsatzeinbußen können Imageschaden offerieren solche Standortbestimmungen, und Vertrauensverlust der Klienten oder die mittlerweile vom Bundesministerium auch Vertragsverletzungen, rechtliche für IT-Sicherheit (BSI) oder von Initiativen Folgen, Schadenersatzansprüche und wie Security for Business empfohlen sogar Kursverluste schwerer wiegen. werden. Die Ziele dieser Sicherheits- Prophylaxe lassen sich wie folgt zusammenfassen: Kontinuität und Ordnungsmäßigkeit von Geschäfts- und IT-Security Health-Check Produktionsprozessen sicherstellen und Schaden abwenden, der durch den Eintritt CSC Ploenzke bietet Kunden einen IT- Security Health-Check an, mit dessen unerwünschter Ereignisse für Firmen, Hilfe systematisch Risiken im Hinblick Kunden, Mitarbeiter und Geschäftspartner auf die IT-Sicherheit analysiert werden. entstehen kann.