Sicherheit aus dem Keller holen Informationssicherheit als politische Aufgabe

IT-Sicherheit ist schon lange kein Randthema mehr, auch geht es um mehr als die „bloße“ Abwehr von Wirtschaftskriminalität. Die Angriffsszenarien werden komplexer. Nicht nur Großkonzerne wie Sony und TV5Monde, sondern auch staatliche Institutionen wie der Bundestag stehen im Visier der Angreifer.

Anbieter zum Thema

cit GmbH

Nortal AG

xSuite Group GmbH

Cassini Consulting AG

IT-Sicherheit ist schon lange kein Randthema mehr, auch geht es um mehr als die „bloße“ Abwehr von Wirtschaftskriminalität. Die Angriffsszenarien werden komplexer. Nicht nur Großkonzerne wie Sony und TV5Monde, sondern auch staatliche Institutionen wie der Bundestag stehen im Visier der Angreifer. Nur die wenigsten Angriffe werden öffentlich bekannt. Politik und Öffentliche Verwaltung haben die sich ändernde Bedrohungslage zwar erkannt, aber rein technische Mittel reichen zur Abwehr nicht mehr aus. Compliance ist auch in Sachen Informationssicherheit eine wichtige Anforderung geworden.

IT-Sicherheit allein greift zu kurz

Die Erfahrung zeigt, dass in vielen Unternehmen und Behörden das Thema Sicherheit derzeit noch als bloße IT-Sicherheit verstanden wird. Entsprechend ist mit dem Thema oft nur ein CISO oder IT-Sicherheitsbeauftragter und gegebenenfalls die IT-Abteilung befasst. Sicherheit ist dann – der Rolle und Perspektive der technisch ausgerichteten Abteilung gemäß – auf ihre technische Dimension reduziert. Organisatorische Aspekte und Maßnahmen geraten selten in den Blick. Eine gesamtheitliche Betrachtung des Themas Sicherheit findet in der Regel nicht statt.

Zu beobachten ist, dass Beschäftigte oft engagiert an der Steigerung des Sicherheitsniveaus mitwirken. Um dieses Potenzial jedoch vollständig zu nutzen, bedarf es deutlicher Unterstützung aus der Führungsebene, beispielsweise bei der Ressourcenbereitstellung. Nur so werden die Fachbereiche in die Lage versetzt, ihre Sicherheitsaufgaben erfüllen zu können.

Die steigende Komplexität von Sicherheitsvorfällen zeigt, dass sich durch rein technische Maßnahmen kein geeignetes Sicherheitsniveau erreichen lässt. Echte Sicherheit von Informationen entsteht ausschließlich im Zusammenspiel von Menschen, Prozessen und Technologien. Eine übergreifende Informationssicherheit beschäftigt sich nicht ausschließlich mit der Technik. Aus diesem Grund ist Informationssicherheit nicht allein Sache der IT-Abteilung, sondern eine Aufgabe für die gesamte Organisation, auch aller Fachabteilungen und Beschäftigten.

Sicherheit ist Führungsaufgabe

Die Führungsebene ist gefragt, entsprechend zu handeln. Auch weil Sicherheit nicht nur eine technische, sondern auch eine organisatorische Dimension hat, ist es ein Thema, das nur auf der Ebene des Top-Managements strategisch verantwortet werden kann – Informationssicherheit verlangt Führung. Es ist die Aufgabe der Führungsebene, Sicherheitsbewusstsein vorzuleben, für den notwendigen Rahmen zu sorgen, die entsprechenden Organisationsstrukturen zu schaffen und das Thema Sicherheit in der Organisation zu verankern. Effektive Informationssicherheit entsteht nur, wenn sie die Kultur der Organisation durchdringt, wenn sie gelebt wird – von allen Beschäftigten und allen Fachabteilungen.

Transparenz und Motivation sind unerlässlich, damit Informationssicherheit Bestandteil der Kultur einer Organisation wird. Für das Top-Management kommt es darauf an, in der Organisation eine offene Kultur des Austauschs über Sicherheitsfragen zu schaffen und für ein Umfeld zu sorgen, dass die Beschäftigten über alle Abteilungen hinweg motiviert, sich selbst für Sicherheit einzusetzen.

Um die Beschäftigten dauerhaft zu sensibilisieren und aktiv einzubinden, können pragmatische Ansätze dienen, wie etwa der regelmäßige Austausch mit den Fachbereichen (um zu wissen, wo der Schuh drückt) und die Stärkung der Mitarbeiter durch Änderung von Prozessen. Der Sicherheitsbeauftragte kann als Brückenbauer zwischen den unterschiedlichen Interessensgruppen moderieren.

Der Effekt: Informationssicherheit wird ein gemeinsames Ziel und integraler Bestandteil des Handelns. Beschäftigte auf allen Hierarchiestufen werden ganz natürlich den Einfluss ihrer Projekte und Prozesse auf die Informationssicherheit überprüfen, aus eigenem Antrieb Missstände identifizieren und auf deren Behebung drängen.

(ID:43804671)