Sicherheit ist ein Grundbedürfnis des Menschen -und damit
unserer Gesellschaft. Gerade in Zeiten von Globalisierung, steigender Mobilität
und wachsender Abhängigkeit der Industrienationen von Informations-und Kommunikationstechnik
nimmt das Sicherheitsbedürfnis immer mehr zu. Wachsende
Verwundbarkeit und die Gefahr massiver wirtschaftlicher Schäden in Folge von IT-Risiken
erhöhen den Handlungsdruck, durch aktives IT-Sicherheitsmanagement Schäden zu verhindern
und das Restrisiko zu minimieren. Die Verantwortung beschränkt sich keineswegs auf
die jeweiligen IT-Fachabteilungen. Vielmehr gilt: Sicherheit ist Chefsache. Dem
hat auch der Gesetzgeber Rechnung getragen. Verschiedene Gesetze und Regelungen
belegen die persönliche Haftung von Geschäftsführern bzw. Vorständen im Falle von
Versäumnissen. Eine weit verbreitete Ansicht ist,
dass IT-Sicherheitsmaßnahmen zwangsläufig mit hohen Investitionen in Sicherheitstechnik
und der Beschäftigung von hoch qualifiziertem Personal verknüpft sind. Dem ist jedoch
nicht so. Die wichtigsten Erfolgsfaktoren sind gesunder Menschenverstand, durch-dachte
organisatorische Regelungen und zuverlässige -gut informierte Mitarbeiter, die selbständig
Sicherheitserfordernisse diszipliniert und routiniert beachten. Die Erstellung und
Umsetzung eines wirksamen und effektiven IT-Sicherheitskonzeptes muss darum nicht
zwangsläufig unbezahlbar sein. Die wirksamsten Maßnahmen sind überraschend simpel
und noch dazu oft kostenlos! Eine andere weit verbreitete
Fehleinschätzung betrifft den eigenen Schutzbedarf. Oft stößt man auf die folgenden
Aussagen:
„Bei uns ist noch nie etwas passiert". Diese Aussage
ist mutig. Vielleicht hat bei früheren Sicherheitsvorfällen niemand etwas bemerkt!
„Was soll bei uns schon zu holen sein, so
geheim sind unsere Daten nicht." Diese Einschätzung
ist in den meisten Fällen zu oberflächlich. Bei sorgfältiger Betrachtung von möglichen
Schadensszenarien zeigt sich schnell: Es können durchaus Daten verarbeitet werden,
die vielfältigen Missbrauch ermöglichen, wenn sie in die falschen Hände fallen.
„Unser Netz ist sicher." Die Fähigkeiten potentieller Angreifer werden oft unterschätzt. Hinzu
kommt, dass selbst ein erfahrener Netz-oder Sicherheitsspezialist nicht alles wissen
und gelegentlich Fehler machen kann. Externe Überprüfungen decken nahezu immer ernste
Schwachstellen auf und sind ein guter Schutz vor „Betriebsblindheit".
„Unsere Mitarbeiter sind vertrauenswürdig."
Verschiedene Statistiken zeichnen ein anderes Bild: Die Mehrzahl
der Sicherheitsverstöße wird durch Innentäter verursacht. Dabei muss nicht immer
Vorsatz im Spiel sein. Auch durch Versehen, Übereifer oder Neugierde gepaart mit
mangelndem Problembewusstsein entstehen manchmal große Schäden.
Jeder sollte sich bewusst machen: Sicherheit ist kein statischer
Zustand, sondern ein ständiger Prozess. Stellen Sie sich daher immer wieder die
folgenden Fragen:
- Welche Formen von Missbrauch wären möglich, wenn vertrauliche Informationen Ihres Unternehmens oder Ihrer Behörde in die Hände Dritter gelangten?
- Welche Konsequenzen hätte es für Sie, wenn wichtige Informationen -z. B. während einer Datenübertragung oder auf ihrem Server -verändert würden? Als Ursache kann nicht nur böse Absicht unbekannter Dritter, sondern auch technisches Versagen in Frage kommen.
- Was würde geschehen, wenn in Ihrer Organisation wichtige Computer oder andere IT-Komponenten plötzlich ausfielen und einen längeren Zeitraum (Tage, Wochen, ...) nicht mehr nutzbar wären? Könnte die Arbeit fortgesetzt werden? Wie hoch wäre der mögliche Schaden?
Wenn Sie ein gut durchdachtes IT-Sicherheitskonzept umsetzen,
werden sich nach einiger Zeit -neben dem Sicherheitsgewinn -weitere Vorteile einstellen.
IT-Leiter beobachten häufig folgende „Nebeneffekte":
Die Mitarbeiter
sind zuverlässiger, die Arbeitsqualität steigt.
Gelebte IT-Sicherheit fördert eine Unternehmenskultur, in
der verantwortungsbewusstes Handeln, Kundenorientierung und die Identifikation mit
den Unternehmenszielen fest verankert sind.
Wettbewerbsvorteile
Nachgewiesene IT-Sicherheit schafft Vertrauen bei Kunden
und anderen Geschäftspartnern und wird zunehmend von diesen auch eingefordert.
Wartungsarbeiten an IT-Systemen erfordern deutlich
weniger Zeit. Administratoren arbeiten effektiver.
Administratoren und Anwender kennen sich besser mit ihren
Systemen aus. IT-Systeme sind gut dokumentiert, was Administrationsarbeiten, Planung,
Neuinstallation von Software und Fehlerbeseitigung erleichtert. Ein gutes IT-Sicherheitskonzept
vermeidet zudem einige Probleme unter denen Administratoren normalerweise besonders
leiden: Anwender setzen verschiedene Programme für den gleichen Zweck ein, unterschiedliche
Betriebssysteme müssen betreut werden, verschiedene Versionen der gleichen Software
sind im Einsatz, jeder Anwender hat individuelle Rechte, Anwender nutzen private
Software und gestalten ihren Arbeitsplatz-PC selbst -ohne entsprechendes Know-how.
Eine zentrale Administration des „Rechnerzoos" ist so kaum möglich. Jeder Rechner
muss mit hohem Aufwand individuell analysiert und betreut werden.
(aus "Leitfaden der IT-Sicherheit" des Bundesamtes für Sicherheit in der Informationstechnik
BSI)
>>> download Leitfaden
|