10 goldene Regeln für mehr IT Sicherheit

Anbieter zum Thema

FAST LTA GmbH

FTAPI Software GmbH

Onapsis Europe GmbH

4. Hybride Analysemethodik verwenden

Das Audit kann aus Effizienzgründen nur automatisch erfolgen. Zur Interpretation der erhobenen Daten und zur Bewertung der Ergebnisse braucht es den fachkundigen Auditierungsberater. Es ist weder sinnvoll noch möglich, eine valide Untersuchung ohne manuelle Tätigkeiten durchzuführen. Die Automatisierung mit Hilfe von Tools liefert die Basis für weitere, tiefere Analysen. Die Ergebnisse sind oft nur dann stichhaltig, wenn sie z.B. durch Interviews und Einordnung in die individuelle Systemsituation ergänzt und näher untersucht werden.

5. Schwachstellen priorisieren

Um auf effiziente Weise einen höheren Sicherheitsstandard zu erreichen, muss priorisiert werden. Die größte Sicherheit wird zunächst an den Schnittstellen nach außen erreicht. Es wäre z.B. nicht sinnvoll, zuerst detaillierte Anwendungsbereiche abzusichern und gleichzeitig bestimmte Schwachstellen bei den externen Schnittstellen ins Internet zu vernachlässigen.

Sicherheit ist immer auch eine Frage des Budgets und des Zeitaufwands. Bei jeder Maßnahme muss abgewogen werden, ob der Aufwand durch die Erhöhung des Standards gerechtfertigt wird.

7. Messbarkeit herstellen

Damit die Ergebnisse vergleichbar sind, müssen sie messbar sein. Die Heidelberger SAP-Beratung cbs arbeitet mit Security-Benchmarks. Hier werden aus verschiedenen auditierten Systemen die Schwachstellen pro Kategorie statistisch erfasst und können zum Vergleich herangezogen werden. So kann ein System benotet und dem Verantwortlichen eine Argumentationsgrundlage zur Budgetierung zur Verfügung gestellt werden. Anhand solcher Benchmarks lässt sich auch die Wirksamkeit von Umsetzungsmaßnahmen, etwa durch Erreichen eines definiert höheren Sicherheitslevels, messen und nachvollziehen.

8. Skalierbare Analysen nutzen

Mit sogenannten Standardchecks, die bei jedem Audit durchgeführt werden, wird eine Basissicherheit hergestellt. Trotzdem muss der Fokus je nach Systemausprägung auf unterschiedlichen Bereichen liegen. In einem CRM-System werden andere Komponenten betrachtet, als in einem ERP-System. Ein flexibler Audit ist Voraussetzung. Die Analyse muss um zusätzliche Themen erweitert werden können.

9. Rollierende Delta-Audits planen

Systeme sind ständiger Veränderung ausgesetzt. Um einen erreichten Sicherheitsstandard zu halten bzw. weiter zu erhöhen, muss der Audit regelmäßig wiederholt werden. Nicht jede Änderung ist in der Realität dokumentiert und auch nicht immer beabsichtigt. Über regelmäßige Delta-Audits lassen sich auch Sicherheitstrends erkennen und rechtzeitig Gegenmaßen einleiten.

10. Sicherheitsverantwortung organisatorisch verankern

Ein Audit ohne organisatorische Sicherheitsverantwortlichkeit bleibt eine reine Willensbekundung. Das Thema ist oft mit Wiederständen verbunden. Umso wichtiger sind ein klares Konzept und ein Commitment auf Managementebene.

(ID:43144670)