Sicherheit im Geschäftsbetrieb

Prioritätenkonflikt

Die Funktion einer IT-Abteilung war immer dieselbe – die Produktivitätssteigerung des Unternehmens durch Technologie. Die oberste Priorität für die IT ist einerseits die Förderung des Geschäftsbetriebs und die Gewährleistung der Kontinuität. Ihre Prioritäten ergeben sich meistens aus den unterstützten Geschäftsprozessen.

Andererseits bemühen sich die Teams im Geschäftsbetrieb um agile Lieferungen. Deren oberste Priorität besteht darin, die Geschäftsprozesse so schnell wie möglich in Gang zu bringen, auch wenn die IT-Ressourcen dabei übermäßig beansprucht werden.

Die Sicherheitsabteilung befindet sich in der Mitte und bemüht sich um die Erfüllung ihrer Kernaufgabe: Sicherheit und Compliance im Unternehmen.

Der vom IT-Team unterstützte Geschäftsbetrieb will so schnell wie möglich liefern. Die Sicherheit hindert ihn nur daran. Warum? Weil die Überprüfung der Prozesse, Produkte und der zu unterstützenden Infrastruktur auf Schwachstellen und bekannte Bedrohungen länger dauert, wenn man erstmal sicherstellen muss, dass die Anwendungskonfigurationen die Anforderungen erfüllen und die übernommenen Sicherheitsrichtlinien und -standards eingehalten werden.

Durch das Festlegen von Richtlinien, das Erkennen von Bedrohungen und Schwachstellen fordern die Sicherheitsspezialisten die IT-Abteilung dazu auf, Baseline-Konfigurationen zu folgen, Patches rechtzeitig anzuwenden und Updates auszuführen. Unter Berücksichtigung der begrenzten Ressourcen stuft die IT die Sicherheitsinitiativen jedoch mit einer niedrigeren Priorität ein als die Forderungen des aktuellen Geschäftsbetriebs nach einer agilen Bereitstellung.

Zuordnung der Sicherheitsprioritäten im Geschäftsbetrieb

Wenn über längere Zeit keine Sicherheitsvorfälle auftreten, wird die Sicherheitsabteilung in den Hintergrund gedrängt. Doch sobald ein negatives Sicherheitsereignis vorkommt, ist sie als Erste schuld. Das erklärt, warum die Sicherheitsabteilung den Fokus auf eine enge Zusammenarbeit mit der Unternehmensführung legen sollte, um Ideen für eine bessere Übereinstimmung vorschlagen zu können.

Für viele Führungskräfte ist eine Sicherheitslücke eine bloße Möglichkeit. Ihre Haupterwartung an das Sicherheitsteam besteht in der Gewährleistung der Betriebskontinuität. Angesichts dessen sollte das Sicherheitsteam Folgendes vorlegen:

• Sicherheitsmetriken, die für die Geschäftsentwicklung relevant sind
• Übersicht über Sicherheitsrisiken und damit verbundene Schäden
• Best-Practice-Benchmarks für die Domäne
• Prognosen in Bezug auf die Geschäftsziele: z.B. Kostenreduktion aufgrund standardisierter Konfigurationen für die Konformität zu den Sicherheitsanforderungen

Die Herausforderung besteht darin, die Unternehmensführung von dem akzeptablem Risikolevel zu überzeugen und es festzulegen. Dann müssen die Sicherheitsanforderungen im Zusammenhang mit dem akzeptierten Risikolevel in der Roadmap festgehalten werden. Die IT-Abteilung hat danach den angenommenen Initiativen zu folgen und wird sich auf die Risikominimierung bei der Lieferung konzentrieren. Auf diese Weise ändert die Sicherheitsabteilung ihre Rolle vom mutmaßlichen Hemmer zum Partner von Business Development und IT-Einheiten.

Konzentration auf Betriebseffizienz und -kontinuität

Angesichts der wachsenden Sicherheitsrisiken entscheiden sich viele Technologieunternehmen für die Verwendung moderner Sicherheitsplattformen, um ihre Abläufe zu verbessern und die Effizienz zu steigern. Es ist entscheidend, über ein effektives und intelligentes Informationssicherheits-Managementsystem (ISMS) zu verfügen. Investitionen in Sicherheits-Softwarelösungen sind mindestens genauso wichtig wie die Investitionen in die anderen Komponenten eines Sicherheitssystems.

Moderne Sicherheitslösungen sorgen für mehr Sicherheit im täglichen Geschäftsbetrieb, steigern damit die Effizienz und sichern die Kontinuität im Unternehmen in mehreren Dimensionen:

Minimierung von organisatorischen Risiken

Unternehmen, in denen Tausende von Mitarbeitern untergebracht sind, und Petabytes an sensiblen oder geschäftskritischen Informationen in einer riesigen Infrastruktur verarbeitet werden, sehen sich mit der ganzen Bandbreite der Sicherheitsherausforderungen konfrontiert. Angesichts der wachsenden Datenmenge, die gespeichert und verarbeitet wird, müssen Organisationen die Aktivitäten innerhalb und außerhalb ihrer Büros kennen, damit sie den unerwünschten Vorfall schnell erkennen und entsprechende Maßnahmen ergreifen können.

Einhaltung von Sicherheitsstandards

Sicherheitsstandards wie die ISO/27K-Serie bilden den Kern eines jeden Informationssicherheitssystems. Die Implementierung und Einhaltung dieser Compliance-Anforderungen ist jedoch für viele Organisationen ein langwieriger Aufwand. Automatisierung ist das Schlüsselwort dazu, doch die meisten bestehenden Compliance-Management-Lösungen verfügen entweder über zu wenig Funktionalität oder sind spezifisch für ein bestimmtes Anwendungsszenario programmiert.

Ganzheitliche Lösungen wie der Compliance Aspekte, der sowohl regulatorische und als auch domänenspezifische Standards vereint, zeigen einen klaren und einfachen Weg für die Steuerung aller Compliance-relevanten Prozesse über eine zentrale Stelle auf. Durch die Rationalisierung und Nutzung aller sicherheitsbezogenen Prozesse auf globaler Ebene ermöglichen diese Tools die Kostenreduktion, die Risikominimierung und die Einhaltung von Compliance-Anforderungen.

Die jüngsten Statistiken über Sicherheitsverstöße lassen keine Illusionen mehr hinsichtlich der Folgen von Fahrlässigkeit bei der Einhaltung von Sicherheitsvorschriften zu, sowohl Schäden als auch Strafen sind enorm. Angesichts des Schweregrads der Auswirkungen von Verstößen sollten Sie mehr als nur eine primitive Compliance-Management-Lösung haben. Es muss eine ganzheitliche Plattform sein, die ein sofortiges und angemessenes Eingreifen aus einer Echtzeit-Bewertung des Sicherheitsstatus und der damit verbundenen Risiken heraus ermöglicht und Live-Anweisungen zu den erforderlichen Maßnahmen bietet.

Überbrückung logistischer Engpässe

Sicherheitsvorfälle stellen für jedes Unternehmen eine Herausforderung dar, insbesondere aber für Unternehmen mit dezentraler Verwaltung, wie es häufig bei Rechts-, Beratungs- und Technologieunternehmen der Fall ist. Die Dezentralisierung des Managements mit dem Schwerpunkt auf Projekten/Fällen statt auf Funktionsbereichen behindert im Notfall eine schnelle Verbreitung von Reaktionsbefehlen über die Kette. 

Deswegen müssen stark dezentralisierte Organisationen ihre eigene nicht-hierarchische Struktur bei dem Management der Sicherheitsvorfälle und in der Dokumentation zur Notfallwiederherstellung berücksichtigen. Ihre Trainingsprogramme betrifft dies übrigens auch. Es ist wichtig, sich auf Case Studies zu fokussieren, die die Best Practices beim Krisenmanagement in Ihrer Branche beinhalten. Hierbei sind modulare, hochflexible Lösungen wie Compliance Aspekte unverzichtbar. Sie können jede Funktionskomponente genau laut den Anforderungen Ihres Unternehmens einrichten, konfigurieren oder anpassen. Darüber hinaus können Sie Ihre eigenen, individuellen Standards, Richtlinien oder Verfahren zum System hinzufügen.

Effizienzsteigerung im Geschäftsbetrieb

Die Konsolidierung aller sicherheitsrelevanten Prozesse in einem Zentrum trägt zur Rationalisierung der Geschäftsabläufe und zur Verbesserung ihrer Effizienz bei, insbesondere in Organisationen mit hoher körperlicher Präsenz. Mit Hilfe von branchenführenden Lösungen zur Verwaltung von Sicherheitsabläufen und Compliance können Organisationen sowohl die Reaktionszeit als auch die Anzahl von Fehlalarmen erheblich verringern.

Solange die Betriebskontinuität und -effizienz die obersten Prioritäten von Organisationen bleiben, wird eine geeignete Sicherheitsplattform zu einer unschätzbaren Lösung zur Risikominimierung, Beseitigung von logistischen Engpässen und Kostensenkung. Durch Echtzeitüberwachung des Sicherheitsstatus und regelmäßige Risikoabschätzung bietet das System die beste Abfolge von Abhilfemaßnahmen an.

Cybersicherheit ist kein Einzelkampf mehr

Flächendeckende Digitalisierung und Hyper-Konnektivität in der modernen Wirtschaft sind Realität geworden. Regierungen, Unternehmen, Finanzinstitute, Bildungseinrichtungen, öffentlicher Dienst – jede Branche, jede Gesellschaftsfacette durchläuft eine grundlegende digitale Transformation im Zeitalter von Online-Suchmaschinen, Buchungsportalen, Zahlungssystemen, Chat-Bots, Robotik und künstlicher Intelligenz.

Der Nachteil des technologischen Fortschritts ist weltweit das exponentielle Wachstum von Cyberbedrohungen für Organisationen und Einzelpersonen. Während Einzelpersonen einem hohen Risiko für Datenschutzverstöße, Identitätsdiebstahl und Finanzbetrug ausgesetzt sind, können Unternehmen durch gezielte Cyberangriffe desaströse Folgen erleiden. Mächtige regulatorische Sanktionen, rapide fallende Aktienkurse, Produktionsausfälle, enttäuschte Kunden, Klagen und andere Konsequenzen können katastrophal sein.

Organisationen müssen sich den neuen Herausforderungen stellen, indem sie unterschiedliche Sicherheitsstrategien verfolgen, bevor sie sich der Gefährdung ihrer Systeme und Netzwerke aussetzen. Die allgemeine Challenge besteht darin, dass der Einsatz von mehreren Schutzmechanismen viele Ressourcen beansprucht und hochqualifiziertes Sicherheitspersonal erfordert. Viele unterbesetzte Unternehmen gehen reaktiv vor und ergreifen Maßnahmen erst nach einem Sicherheitsvorfall.

Der größte Fehler besteht darin, die Sicherheitsfunktion einer einzelnen Abteilung zuzuordnen, sei es IT oder Sicherheit. Heutzutage muss jeder im Unternehmen die Verantwortung für die korporative Sicherheit bewusst übernehmen. Führungskräfte haben diese Idee als Erste zu verinnerlichen und danach systematisch an die Mitarbeiter im Unternehmen weiterzugeben.

Der umfassende Charakter moderner Cyberattacken diktiert neue Regeln für die Entwicklung sicherer Betriebsumgebungen. Da sich Endbenutzer in den meisten Fällen als schwächstes Glied in der Sicherheitskette erweisen, ist es offensichtlich, dass der Aufbau eines Sicherheitssystems für Unternehmen bei der Person beginnen muss, die die erste Verteidigungslinie gegen Cyberangreifer verkörpert.