IT-Sicherheit und Compliance in mittelständischen Unternehmen - Welcher Weg führt zum Ziel?

IT-SIcherheIT und complIance Im mITTelSTand ISO 27001 versus IT-Grundschutz Welcher Weg führt zum Ziel? White Paper InformaTIonSSIcherheIT IST für mITTel- STändISche unTernehmen keIne opTIon, Sondern eIn geSchäfTSrelevanTeS muSS. 2 InhalT » Einleitung 4 » Fälle aus der Praxis 5 » Herausforderungen 6 » Rechtliche Rahmenbedingungen 7 » Die größten Fehleinschätzungen 8 » Wie kann nachhaltige IT-Sicherheit erreicht werden? 9 » Die „klassische“ Richtlinie: ISO 27001 10 » Die „neue“ BSI Richtlinie: IT-Grundschutz im Mittelstand 11 » Die Anforderungen des Bundesdatenschutzgesetzes (BDSG): Datenschutz sicherstellen 12 » Rechtliche Anforderungen an das Dokumentenmanagement Konforme Archivierung oder Datenmüll? 13 » ISO 27001 versus IT-Grundschutz – welcher Weg führt zum Ziel? Pro und Kontra 14 » Fazit 15 » Über Atos Origin und TCI 16 eInleITung d er folgende Abschnitt gibt die Erfahrungen eines IT-Beraters und IT-Auditors im Mittelstand wieder und soll die Problematik aufzeigen, in der sich mittelständische Unternehmen im Hinblick auf die IT-Sicherheit und Compliance gegenwärtig befinden. Wie sieht der Alltag eines Auditors aus? In der Regel läuft ein IT-Audit relativ „unkompliziert“ ab und führt in vielen Fällen, sofern die Betroffenen dies zulassen, zur Behebung von potentiellen Schwachstellen. Nach einer freundlichen Begrüßung („Sie schon wieder!“) durch den Geschäftsführer eines kleinen mittelstän- dischen Unternehmens und den ersten, manchmal sehr groben Versuchen des IT-Leiters herauszufinden, wie kompetent der Auditor agiert („Was weiß denn dieser Prüfer?“), verbessert sich die Situation in den meisten Fällen nach kurzer Zeit. Mittlerweile hat der IT-Leiter bereits festgestellt, der Prüfer kennt sich doch aus und auch der Geschäftsführer hat früher als geplant den Sitzungsraum verlassen, um wichtige Termine wahrzunehmen. Offensichtlich war dieser Termin nicht wichtig genug. Egal, denn jetzt kann der eigentliche Teil der Prüfung beginnen und dabei ergeben sich bei vielen Unternehmen im Mittelstand die gleichen Herausforderungen. Das vorliegende White Paper soll mögliche Lösungs- ansätze für diese Problematik der IT-Sicherheit in mittelständischen Unternehmen darstellen. 4 fälle auS der praxIS SzenarIo 1: SzenarIo 2: WIe Würden SIe reagIeren? WIe WIrd Ihr kunde reagIeren? Ihre Rechtsanwaltskanzlei setzt für Sie einen Vertrag Sie sind Geschäftsführer eines kleinen mittelständigen auf, der die Bedingungen für die Übernahme eines Unternehmens, das auf die Entwicklung von neuen Mitbewerbers regelt. Sie möchten diese Übernahme Medikamenten spezialisiert ist und diese im Auftrag aus strategischen Gründen bis zuletzt geheim halten großer Pharmakonzerne durchführt. In Ihrem Unter- und haben daher die Anzahl der Personen, die an nehmen wurde das Notebook eines Abteilungsleiters den Vertragsverhandlungen teilnehmen, auf das gestohlen. Auf diesem Gerät befanden sich unver- Mindestmaß beschränkt. Insgesamt wissen nur vier schlüsselt die Entwicklungsdaten eines neuen Medi- Personen von der geplanten Übernahme. kaments, welches Sie für einen Ihrer Kunden ent- wickelt haben. Die Entwicklungszeit betrug bisher 1. Ihr Anwalt sendet Ihnen den ersten Vertragsentwurf fünf Jahre und der Prozess steht unmittelbar vor dem unverschlüsselt per E-Mail. Abschluss. Sie haben den begründeten Verdacht, dass der Diebstahl im Auftrag eines Mitbewerbers 2. Bei Ihrer Rechtsanwaltskanzlei gab es ein Viren- Ihres Kunden durchgeführt wurde. Sie müssen im problem. Ihr „geheimer“ Vertragsentwurf wurde an Sinne der Meldeverpflichtung des BDSG ihren alle Kunden der Kanzlei per E-Mail gesendet. Kunden davon in Kenntnis setzen. Sie wählen die Telefonnummer Ihres Auftraggebers, es klingelt, Diese Geschichte klingt unglaublich, ist aber in ähn- Ihr Ansprechpartner meldet sich - viel Erfolg. licher Form tatsächlich passiert. 5 herauSforderungen I n der heutigen Zeit ist das Geschäftsleben ohne Hinzu kommt, dass die verarbeiteten Daten einen Informations- und Kommunikationstechnik nicht großen Wert für ein Unternehmen darstellen, insbe- mehr vorstellbar. Wo früher in den Entwicklungs- sondere wenn es sich um Entwicklungs- oder For- und Konstruktionsabteilungen große Zeichentische schungsprojekte handelt, die im Auftrag für Kunden standen, stehen heute moderne CAD-Anlagen. Die durchgeführt werden. Diese Daten gehören in Wahr- für die Produktion benötigten Daten werden durch heit Ihren Kunden, stellen für diese ebenfalls einen sehr ERP- und MES-Systeme elektronisch übermittelt und großen Wert dar und müssen entsprechend geschützt verarbeitet. IT ist mittlerweile auch im Mittelstand in alle werden. Nicht auszudenken, wenn solche Daten in Prozesse des Unternehmens integriert und unverzicht- die Hände unbefugter Dritter gelangen, insbesondere bar. Dies führt in der Folge zu einer hohen Abhängig- wenn es sich um den direkten Mitbewerber Ihres keit von den eingesetzten Technologien. Dabei ist Kunden handelt. In vielen Fällen geschieht das nicht aber nicht nur die Verfügbarkeit der Systeme und zufällig, sondern wird durch gezielte Wirtschaftsspio- Anwendungen entscheidend - auch fehlerhafte Daten nage verursacht. Für Ihr Unternehmen birgt dies ein haben direkten Einfluss auf die Geschäftsprozesse und hohes Risikopotential, denn der mühsam aufgebaute die Qualität der erzeugten Produkte und können sich Ruf des Unternehmens ist massiv geschädigt. In be- negativ auf den Geschäftserfolg auswirken. stimmten Fällen können sich auch persönliche Haftun- gen für die Verantwortlichen der Unternehmensleitung Mittelständische Unternehmen sind bei Ausfall der ergeben. IT stark in ihrem Handeln eingeschränkt, wenn nicht sogar nahezu handlungsunfähig. Sie können die Die Sicherstellung der Verfügbarkeit, der Richtigkeit zugesicherten Leistungen nicht mehr bzw. nur in und Vollständigkeit sowie der Vertraulichkeit dieser eingeschränktem Umfang erbringen. Zwar können Daten ist daher von entscheidender Bedeutung für Bestellungen vielleicht noch telefonisch entgegen Ihr Unternehmen und hat direkten Einfluss auf den genommen werden, aber sind die Waren im Lager Geschäftserfolg. In diesem Zusammenhang spricht auffindbar? Diese Aussage mag zwar für den Mittel- man nicht mehr nur von Daten in der IT, sondern allge- stand etwas übertrieben klingen, aber stellen Sie mein von Informationen, unabhängig davon in welcher sich vor, in Ihrem Unternehmen fällt plötzlich für einen Form diese im Unternehmen existieren und verarbeitet längeren Zeitraum die IT aus. Was würde geschehen? bzw. gespeichert werden. Konsequenterweise hat sich Könnten Ihre Mitarbeiter die Arbeit fortsetzen? Wie der Begriff „Informationssicherheit“ etabliert. wirkt sich der Ausfall auf Ihr Geschäft aus? Wie hoch wäre der mögliche Schaden? 6 rechTlIche rahmenbedIngungen I n den letzten Jahren wurden die gesetzlichen ignoriert werden können. Die Herausforderung liegt Rahmenbedingungen für Unternehmen massiv nun darin, die jeweils für das eigene Unternehmen verschärft und zahlreiche Gesetze erlassen, aus relevanten Gesetze zu ermitteln und in der Folge die denen sich unmittelbare Handlungsverpflichtungen notwendigen Maßnahmen zu erarbeiten und umzu- und Haftungsansprüche bei Unterlassung ableiten setzen. lassen. Es gibt nahezu nichts, was nicht gesetzlich geregelt ist. Beginnend bei den Regelungen für Kapi- IT-Auditoren erleben in der täglichen Praxis oftmals talgesellschaften (GmbHG1, AktG2, AO3, KonTraG4, genau das Gegenteil. Auf die einfache Frage: „Welche GoBS5, GDPdU6) erstreckt sich die Gesetzesflut Gesetze gelten für ihr Unternehmen?“ können die über alle Bereiche des Unternehmens. Wie müssen Verantwortlichen keine zufriedenstellende Antwort geschäftliche E-Mails aufbewahrt werden? Wie darf geben, weil die Kenntnisse unzureichend sind und mit personenbezogenen Daten umgegangen werden? eine Erfassung der für das Unternehmen relevanten Die einzelnen gesetzlichen Regelungen werden hinrei- Gesetze nicht durchgeführt wurde. Die Antwort auf die chend in der Fachliteratur behandelt. Deshalb wird an darauf folgende Frage: „Wie stellen sie sicher, dass ihr dieser Stelle auf eine detaillierte Ausführung verzichtet.