IT-Sicherheit in der Unternehmensführung 12 Tipps fürs Security- und Risiko-Management

Aufsichtsräte und Führungskräfte nehmen das Risiko-Management durchaus ernst. Doch vor allem hinsichtlich der Bewertung der IT-Sicherheitsrisiken besteht noch Nachholbedarf. Diesen Schluss zieht RSA aus dem Report „Governance of Enterprise Security“.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

SEPPmail - Deutschland GmbH

Rapid7 Germany

Im Auftrag von RSA hat das Carnegie Mellon CyLab untersucht, wie asiatische, europäische und nordamerikanische Unternehmen beim IT-Risiko-Management aufgestellt sind. So haben 96 Prozent der betrachteten Firmen weltweit ein Auditing-Komitee gebildet, in über drei Viertel der Fälle findet sich zusätzlich ein Komitee für Fragen der Unternehmensführung (Governance), Compliance oder Geschäftsethik.

Ein spezielles Risiko- oder Sicherheitskomitee haben bislang nur 56 Prozent der Firmen ins Leben gerufen. Am besten schneiden in diesem Bereich die asiatischen Befragten ab: 95 Prozent von ihnen geben an, dass ihr Arbeitgeber ein entsprechendes Gremium einberuft, in drei Viertel der Fälle sogar unabhängig vom Auditing-Ausschuss.

Europäische Unternehmen gehen hinsichtlich IT-Sicherheit und Datenschutz zumindest noch konsequenter vor als Firmen in den Vereinigten Staaten: Während in Europa 59 Prozent der untersuchten Firmen einen eigenen Beirat für Risiko- und Sicherheitsfragen bilden, sind es in den USA gerade einmal 28 Prozent.

Im Branchenvergleich zeigt sich, dass der Finanzsektor bei Sicherheit und Governance am besten aufgestellt ist. Vorstände im Finanzsektor legen laut RSA eine hohe Priorität auf das Risiko-Management. Im Gegensatz dazu widmen sich Vorstände in Energie- und Industrieunternehmen zunächst weniger kritischen Themen wie dem Lieferanten-Management.

Schlüsselpositionen nicht besetzt

An Vollzeit-Personal für Daten- und IT-Sicherheit mangelt es im Übrigen weltweit. Weniger als zwei Drittel der befragten Organisationen besetzen Schlüsselpositionen wie Chief Information Security Officer (CISO), Chief Security Officer (CSO), Chief Privacy Officer (CPO) oder Chief Risk Officer (CRO). Obwohl Europa in Bezug auf Datenschutzbestimmungen führend ist, geben nur drei Prozent der Befragten an, dass ihr Unternehmen einen CPO hat.

Zur Verbesserung der Unternehmensführung in Bezug auf Datenschutz und Sicherheit gibt die RSA-Studie eine Reihe von Empfehlungen, die wir auf der folgenden Seite vorstellen. Den vollständigen Governance of Enterprise Security: CyLab 2012 Report (PDF, 13,4 MB) hat RSA als Download bereitgestellt.

Was die Unternehmensführung besser machen kann

1. Etablieren Sie auf Vorstandsebene ein vom Audit-Komitee getrenntes Risiko-Komitee, das für die Überwachung der Unternehmensrisiken inklusive der IT-Risiken verantwortlich ist. Stellen Sie Führungskräfte ein, die über Erfahrung auf den Gebieten Sicherheit, IT-Governance und Cyber-Bedrohungen verfügen.

2. Stellen Sie sicher, dass die Verantwortlichkeiten für Datenschutz und Sicherheit voneinander getrennt und eindeutig zugeordnet sind. CIO, CISO/CSO und CPO sollten zudem unabhängig voneinander an die Unternehmensführung berichten.

3. Durchleuchten Sie die bestehende Organisationsstruktur und etablieren Sie ein unternehmensübergreifendes Team, das Datenschutz- und Sicherheitsaspekte bespricht sowie koordiniert und sich mindestens einmal im Monat trifft. Zu diesem Team sollten leitende Manager aus der Personal- und Rechtsabteilung, Public Relations und dem Einkauf gehören. Außerdem sollten CFO, CIO, CISO/CSO, CRO und CPO sowie die Geschäftsbereichsleiter zu diesem Team gehören.

4. Überprüfen und ergänzen Sie Ihren Unternehmenskodex, um eine Kultur zu schaffen, in der die Datenschutzrichtlinien respektiert und eingehalten werden.

5. Überprüfen Sie die Sicherheitsrichtlinien des Unternehmens und stellen Sie sicher, dass sie den höchsten Standards entsprechen. Die Richtlinien müssen einen Krisenreaktionsplan, Vorgaben für die Meldung von Sicherheitsverletzungen, Disaster Recovery sowie einen Krisenkommunikationsplan umfassen.

6. Stellen Sie sicher, dass Datenschutz- und Sicherheitsrichtlinien für Zulieferer (inklusive der Cloud- und Software-as-a-Service-Provider) den unternehmenseigenen Sicherheitsvorgaben entsprechen. Dazu gehören auch ein jährlicher Audit und die Vorgabe von Mindestanforderungen an Kontrollen. Die Kommunikations- und Benachrichtigungsprozesse im Falle eines sicherheitsrelevanten Vorfalls oder eines Verstoßes gegen die Sicherheitsrichtlinien sollten besonders kritisch in Augenschein genommen werden.

7. Führen Sie ein jährliches Audit der unternehmenseigenen Sicherheitsrichtlinien durch, das vom Audit-Komitee geprüft wird.

8. Überprüfen Sie jährlich das unternehmenseigene Sicherheitsprogramm und die Effektivität der Kontrollen und stellen Sie sicher, dass erkannte Schwachstellen oder Lücken geschlossen werden. Dies sollte vom Risikokomitee auf Vorstandsebene überwacht werden.

9. Fordern Sie vom leitenden Management regelmäßige Berichte über Datenschutz- und Sicherheitsrisiken ein.

10. Überprüfen Sie auf Vorstandsebene einmal jährlich die Budgets für das Management des Datenschutzes und der Sicherheitsrisiken.

11. Führen sie ein jährliches Audit ein, um die Einhaltung der Datenschutzrichtlinien sicherzustellen. Überprüfen Sie außerdem den Krisenreaktionsplan, die Vorgaben für die Meldung von Sicherheitsverletzungen, Disaster Recovery sowie den Krisenkommunikationsplan.

12. Bewerten Sie die aktuellen Cyber-Bedrohungen und die möglicherweise daraus resultierenden Verluste; überprüfen Sie, ob Ihre Versicherungen alle IT-Risiken adäquat abdecken.

(ID:34045890)