Thought Leadership
Die Sicherheit von Informationen und Daten ist derzeit so präsent wie nie.
IT-Systeme werden immer komplexer und die Vernetzung verschiedener Teilsysteme lässt neue Angriffspunkte an Schnittstellen entstehen. Zudem steigt die Professionalität und Häufigkeit von Hacking-Angriffen immer weiter an. Deswegen sollten sich gerade Unternehmen um ein gutes Informationssicherheits-Management kümmern.
„Im Grunde gibt es nur zwei Arten von Firmen: Bereits gehackte und solche, die in absehbarer Zeit mit einem weniger, leider oft auch mehr erfolgreichen Angriff rechnen müssen“, sagt Rainer Seidlitz, Prokurist bei der TÜV SÜD Sec-IT GmbH. Denn noch immer ist vielen Unternehmen nicht bewusst, dass Cyberangriffe immer professioneller durchgeführt werden und oft kaum zu erkennen und abzuwehren sind. Im Ernstfall hilft dann ein definiertes systematisches Vorgehen dabei, die notwendigen Maßnahmen in die Wege zu leiten. „Als Leitlinie empfehlen wir dafür die einschlägigen Kapitel der ISO 27001. Sie ist die führende Norm für Informationssicherheits-Managementsysteme und hilft, vertrauliche Daten zu schützen, die Integrität betrieblicher Daten sicherzustellen und die Verfügbarkeit von IT-Systemen zu erhöhen“, erklärt Rainer Seidlitz weiter.
Grundsätzlich gilt: Die Unternehmensleitung muss klare Strukturen schaffen und Handlungsvorgaben an ihre Mitarbeiter geben, damit sicherheitsrelevante Vorfälle richtig gemanagt werden können. Dazu ist es nötig, ein gutes Informationssicherheits-Management aufzubauen und unter anderem folgende Punkte zu beachten:
- Verantwortlichkeiten: Verantwortlichkeiten und notwendige Kompetenzen müssen von Beginn an geklärt sein, um im Ernstfall angemessen reagieren zu können.
- Mitarbeiter und Auftragnehmer: Die Geschäftsleitung hat dafür Sorge zu tragen, dass Mitarbeiter und Auftragnehmer potenzielle Sicherheitslücken melden. Dafür ist über ein grundsätzliches Problembewusstsein hinaus auch eine offene Kommunikation nötig.
- Meldewege und Berichtswesen: Sicherheitsrelevante Ereignisse sollten generell nach Relevanz und Kritikalität sortiert werden. Diese sind dann über die passenden Kanäle sofort an die Verantwortlichen weiterzuleiten.
- Bewertung von Vorfällen: Vorab müssen genaue Kriterien definiert sein, welche Ereignisse als sicherheitsrelevant gelten, um dann eine fundierte Bewertung vornehmen zu können.
- Vorgehensweise bei Sicherheitsvorfällen: Welche Maßnahmen im Ernstfall zu ergreifen sind, sollten Verantwortliche vorab so weit wie möglich festlegen und es empfiehlt sich, entsprechende Szenarien einzuüben.
- Optimierung des Sicherheitsmanagements: Hierbei gilt es, aus Fehlern zu lernen. Aus der Erfahrung im Umgang mit Angriffen sollen Verantwortliche das Sicherheitsmanagement verbessern.
- Beweissicherung: Es sollte festgelegt sein, wie Daten im Angriffsfall gesammelt und gerichtsfest archiviert werden können.
Mit Audits und so genannten Penetrationstests überprüfen die TÜV SÜD Experten die Wirksamkeit von Sicherheitsmaßnahmen. Das bringt Unternehmen Klarheit über eventuelle Risiken und Schwachstellen im System.
