Kernaufgaben für CISOs

Aus IT-Risikomanagement wird Chancen-Management

| Autor / Redakteur: Otto Geißler / Peter Schmitz

Die Abschätzung der IT-Risiken mit einem umfassenden Risiko-Management ist nicht nur die zentrale Aufgabe des strategischen Managements, sondern auch eines CISO.
Die Abschätzung der IT-Risiken mit einem umfassenden Risiko-Management ist nicht nur die zentrale Aufgabe des strategischen Managements, sondern auch eines CISO. (© conceptcafe - stock.adobe.com)

Die Performance als auch nahtlose Verfügbarkeit von IT-Systemen sind heute ein entscheidender Wettbewerbsfaktor. Gleichzeitig nehmen die weltweiten Hackerangriffe dramatisch zu. Eine der wichtigsten Aufgaben des CISO ist die Erstellung eines ganzheitlichen Risikomanagements, das proaktiv tätig wird und damit Störfälle rechtzeitig verhindert.

Viele Unternehmen stehen heute vor der großen Herausforderung, mit begrenzten Ressourcen dem hohen Tempo der technologischen Entwicklungen am Markt als auch den extrem angewachsenen Cyber-Bedrohungen wirksame Maßnahmen entgegenzusetzen. Ein guter Chief Information Security Officers (CISO) wird daher bereits im Vorfeld aktiv und verhindert, dass es überhaupt zu einem längeren Ausfall der IT-Systeme oder Datenverlust kommt.

Aus diesem Grunde hat sich der Aufgabenbereich des CISO in den vergangenen Jahren in Richtung strategischer Managementaufgaben verschoben, um Sicherheitslücken und Probleme zu vermeiden, bevor diese eintreten. Eine der wichtigsten Verantwortungsbereiche des CISO ist die Erarbeitung eines intelligenten und ganzheitlichen Risikomanagements.

Cyber-Risiken erkennen, bewerten und abwehren

Neues eBook „Cyber Risk Management“

Cyber-Risiken erkennen, bewerten und abwehren

02.04.19 - Das Cyber Risk Management bildet die Basis für die Cyber Security Strategie eines Unternehmens. Lücken im Cyber Risk Management führen deshalb zu einer unvollständigen Cyber-Sicherheit. Das neue eBook erklärt, was alles zu den Cyber-Risiken gerechnet werden muss, wie die Risiken im Cyber-Raum priorisiert werden können und warum die Cyber-Abwehr mehr als reine Technik umfasst. lesen

Aktives Management der IT-Risiken

Ganzheitlich bedeutet, dass die verschiedensten Bedrohungen und die daraus resultierenden Risiken über sämtliche Unternehmensbereiche, Verantwortlichkeiten und Aggregationsebenen hinweg berücksichtigt werden - unabhängig von der Größe eines Unternehmens und der Zugehörigkeit zu einer Branche. Das Risikomanagement des CISO ist daher als ein aktiv einzusetzendes Instrumentarium zur Unternehmenssteuerung anzusehen. Nur so ist ein Unternehmen langfristig in der Lage, die Wettbewerbsfähigkeit zu erhalten und zu steigern sowie neue Marktchancen wahrzunehmen.

Zu den wichtigsten Erfolgsfaktoren eines Risikomanagements gehört die Aufnahme zu den oberen Unternehmenszielen. Zudem braucht es eine Bewusstseinsbildung bei allen Mitarbeitern sowie die Schaffung einer technischen und organisatorischen Infrastruktur. Ein methodisches Vorgehen hilft dabei, die verschiedensten Interessen der einzelnen Fachabteilungen zusammenzuführen. Denn letztlich bestimmen die Motivation und das Ineinandergreifen der Mitarbeiter die Qualität des IT-Risikomanagements und damit den Erfolg des Unternehmens.

Cyber-Risiken werden größer

Deloitte Cyber Security Report 2019

Cyber-Risiken werden größer

21.10.19 - Die Sicherheitsbedrohung für Wirtschaft, Gesellschaft und Politik durch Cyberspace-Gefahren steigt von Jahr zu Jahr. Besondere Risiken sieht der aktuelle Deloitte Cyber Security Report vor allem in Bezug auf Fake News, Datenbetrug, -diebstahl und -missbrauch sowie durch Bedrohungen für kritische öffentliche Infrastrukturen und für die Privatsphäre des Einzelnen durch die zunehmende Vernetzung der Haustechnik. lesen

Risiko-Strategien brauchen Grundsätze

In der Vergangenheit wurde in der Regel unter einem Risikomanagement die finanzielle Absicherung möglicher Risiken durch einen abgeschlossenen Assekuranzvertrag verstanden. Diese Form des Risikomanagements berücksichtigte natürlich nur einen Teil - wie beispielsweise Brand oder Diebstahl - der möglichen Risiken.

Für die Definition der zu vermeidenden Risiken beziehungsweise die Erarbeitung eines Risikomanagements sind von dem CISO folgende Grundsätze zu formulieren:

  • Bewusstmachung der Bedeutung und Rolle des IT-Risikomanagements für den Unternehmenserfolg.
  • Festlegung einer eindeutigen Risiko-Klassifizierung.
  • Erarbeitung und Einführung von Standards hinsichtlich bestehender Regularien, Gesetze und Richtlinien.
  • Bestimmung von Rollen und Verantwortlichkeiten.
  • Auswahl von Risiko-Methoden und -prozessen und Bestimmung von Controlling-Maßnahmen.

Gleichzeitig sollte das Risikomanagement in die jeweils vorhandene Organisationsstruktur eingebettet werden. Das heißt, entweder als Teil des IT-Sicherheits-Managements, Bestandteil des weiter gefassten Qualitäts-Managements, als separater Managementbereich oder Querschnittsfunktion für mehrere IT-Projekte. In der Regel ist das IT-Risk-Management ein Teil des Risikomanagements des gesamten Unternehmens.

Mit einer IT-Risikoanalyse Sicherheitsrisiken senken

9 Schritte zu den richtigen Sicherheitsstrategien

Mit einer IT-Risikoanalyse Sicherheitsrisiken senken

03.07.19 - In der Cybersicherheit geht es darum, Risiken für kritischen Vermögenswerte eines Unternehmens zu verstehen, zu verwalten, zu kontrollieren und zu minimieren. Das bedeutet, dass sich die für IT-Sicherheit verantwortlichen Teams mit dem Thema Risikomanagement beschäftigen müssen. lesen

Entwicklung eines ganzheitlichen Risikomanagements

Der CISO plant und implementiert umfassende Risikomanagement-Aktivitäten im IT-Bereich in verschiedenen Schrittabfolgen. Dabei ist zu beachten, dass bei einem Risikomanagement jeder Schritt für alle Risiken durchlaufen werden muss. Es ist wenig sinnvoll, wenn man zwar ein Risiko identifiziert, aber keine effektive Vorgehensweise dafür vorgesehen hat.

Schritt 1: Identifikation von Risiken

In der IT können Risiken unterschiedlicher Natur sein. Zum Beispiel Stromausfälle, Hardwaredefekte, Fehlen von ausgewiesenen IT-Spezialisten etc. Alle möglichen Risiken müssen gesammelt und kategorisiert werden.

Schritt 2: Bestimmung der Eintrittswahrscheinlichkeit

Je bekannter die Ursachen des Risikoeintritts sind, umso leichter lässt sich für jedes identifizierte Risiko auch die Wahrscheinlichkeit eines Ausfalls oder Störung bestimmen. Für einige Risiken greift der CISO auf allgemeine Ausfallwahrscheinlichkeiten oder Angaben des Herstellers wie zum Beispiel Haltbarkeit von Hardwareteilen zurück. Die Schätzungen sollten so objektiv wie möglich erstellt werden.

Schritt 3: Einschätzung der Schadenswirkung und –höhe

Für eine Bemessung der möglichen Schäden bietet sich ein Vergleich mit ähnlichen oder bereits eingetroffenen Störfällen an. Zusätzlich ist eine individuelle Beurteilung durch den CISO hilfreich, denn jedes Unternehmen ist von ganz spezifischen IT-Bereichen abhängig.

Schritt 4: Festlegung tolerabler Limits

Damit ist die Frage nach den noch hinzunehmenden Schadenshöhen oder –grenzen gemeint. Das heißt, es sollte nicht jeder Vorfall auch Maßnahmen aus dem Risikomanagement nach sich ziehen. Dafür werden Grenzen für Zwischenfälle definiert, die als „normal“ gelten und auch im laufenden Betreib behoben werden können - selbst wenn sie zu kleineren Beeinträchtigungen der unternehmerischen Prozesse führen. Technische Probleme dieser Art werden im laufenden Tagesgeschäft durch den Support gelöst.

Schritt 5: Umgang mit Risiken

Zum sogenannten Risiko-Handling gehören alle festgelegten personellen, organisatorischen, technischen und infrastrukturellen Maßnahmen. Der zuständige CISO erarbeitet daraus einen übergeordneten Maßnahmenplan, aus dem hervorgeht, welche Schritte im Falle des Eintritts eines Störfalls einzuleiten sind. Darüber hinaus erstellt der CISO zu jedem Risiko-Handling eine Kosten-Nutzen-Analyse der Maßnahmen.

Schritt 6: Risiko-Monitoring

Ein Risikomanagement als auch die dazu geplanten Sicherheitsmaßnahmen sollten in regelmäßigen Abständen überprüft und gegebenenfalls überarbeitet werden. Dadurch sollen neue Risiken erkannt oder auch Schwachstellen im bisherigen Risikomanagement aufgedeckt werden.

Risikobewusstsein deutscher Unternehmen wächst

Willis Towers Watson Cyber-Studie 2019

Risikobewusstsein deutscher Unternehmen wächst

17.10.19 - Für einen Großteil der deutschen Unternehmen hat das Thema Cyber-Risikomanagement deutlich an Bedeutung gewonnen. 86 Prozent finden die Möglichkeit, Cyber-Risiken in eine eigene Versicherungs-Police zu transferieren, interessant. Dabei kennen allerdings nur 36 Prozent den Umfang einer Cyber-Versicherung, und es bestehen nach wie vor Unsicherheiten, was die Abgrenzung zu bestehenden Deckungen angeht. lesen

Übergreifende Standards als Richtungsvorgaben

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlicht regelmäßig Publikationen zur Erkennung von IT-Risiken sowie zur Umsetzung von Sicherheitsmaßnahmen. Damit soll der Betreiber ein mittleres und ausreichendes Schutzniveau für seine IT-Systeme erzielen.

Das Information Technology Infrastructure Library (ITIL) umfasst ein ablauforientiertes Regelwerk für eine kontinuierliche Überprüfung, Optimierung und Verbesserung von IT-Prozessen. Hier findet der Anwender Hinweise zum Risikomanagement in den Bereichen IT-Service-Community-Management, Information-Security-Management und Availability-Management

Das Control Objectives for Information and Related Technology (COBIT) ist ein Prozessmodell zur Kontrolle der gesamten IT-Systeme. COBIT zeigt detailliert den Aufbau eines Risikomanagements auf und wird in drei Ebenen unterteilt: Aktivitäten, Prozesse und Domänen.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 46197470 / Risk Management)