Mobile-Menu

Kernaufgaben für CISOs Aus IT-Risikomanagement wird Chancen-Management

Autor / Redakteur: Dipl. Betriebswirt Otto Geißler / Peter Schmitz

Die Performance als auch nahtlose Verfügbarkeit von IT-Systemen sind heute ein entscheidender Wettbewerbsfaktor. Gleichzeitig nehmen die weltweiten Hackerangriffe dramatisch zu. Eine der wichtigsten Aufgaben des CISO ist die Erstellung eines ganzheitlichen Risikomanagements, das proaktiv tätig wird und damit Störfälle rechtzeitig verhindert.

Anbieter zum Thema

Arvato Systems
Rapid7 Germany
TXOne Networks
Die Abschätzung der IT-Risiken mit einem umfassenden Risiko-Management ist nicht nur die zentrale Aufgabe des strategischen Managements, sondern auch eines CISO.
Die Abschätzung der IT-Risiken mit einem umfassenden Risiko-Management ist nicht nur die zentrale Aufgabe des strategischen Managements, sondern auch eines CISO.
(© conceptcafe - stock.adobe.com)

Viele Unternehmen stehen heute vor der großen Herausforderung, mit begrenzten Ressourcen dem hohen Tempo der technologischen Entwicklungen am Markt als auch den extrem angewachsenen Cyber-Bedrohungen wirksame Maßnahmen entgegenzusetzen. Ein guter Chief Information Security Officers (CISO) wird daher bereits im Vorfeld aktiv und verhindert, dass es überhaupt zu einem längeren Ausfall der IT-Systeme oder Datenverlust kommt.

Aus diesem Grunde hat sich der Aufgabenbereich des CISO in den vergangenen Jahren in Richtung strategischer Managementaufgaben verschoben, um Sicherheitslücken und Probleme zu vermeiden, bevor diese eintreten. Eine der wichtigsten Verantwortungsbereiche des CISO ist die Erarbeitung eines intelligenten und ganzheitlichen Risikomanagements.

Aktives Management der IT-Risiken

Ganzheitlich bedeutet, dass die verschiedensten Bedrohungen und die daraus resultierenden Risiken über sämtliche Unternehmensbereiche, Verantwortlichkeiten und Aggregationsebenen hinweg berücksichtigt werden - unabhängig von der Größe eines Unternehmens und der Zugehörigkeit zu einer Branche. Das Risikomanagement des CISO ist daher als ein aktiv einzusetzendes Instrumentarium zur Unternehmenssteuerung anzusehen. Nur so ist ein Unternehmen langfristig in der Lage, die Wettbewerbsfähigkeit zu erhalten und zu steigern sowie neue Marktchancen wahrzunehmen.

Zu den wichtigsten Erfolgsfaktoren eines Risikomanagements gehört die Aufnahme zu den oberen Unternehmenszielen. Zudem braucht es eine Bewusstseinsbildung bei allen Mitarbeitern sowie die Schaffung einer technischen und organisatorischen Infrastruktur. Ein methodisches Vorgehen hilft dabei, die verschiedensten Interessen der einzelnen Fachabteilungen zusammenzuführen. Denn letztlich bestimmen die Motivation und das Ineinandergreifen der Mitarbeiter die Qualität des IT-Risikomanagements und damit den Erfolg des Unternehmens.

Risiko-Strategien brauchen Grundsätze

In der Vergangenheit wurde in der Regel unter einem Risikomanagement die finanzielle Absicherung möglicher Risiken durch einen abgeschlossenen Assekuranzvertrag verstanden. Diese Form des Risikomanagements berücksichtigte natürlich nur einen Teil - wie beispielsweise Brand oder Diebstahl - der möglichen Risiken.

Für die Definition der zu vermeidenden Risiken beziehungsweise die Erarbeitung eines Risikomanagements sind von dem CISO folgende Grundsätze zu formulieren:

  • Bewusstmachung der Bedeutung und Rolle des IT-Risikomanagements für den Unternehmenserfolg.
  • Festlegung einer eindeutigen Risiko-Klassifizierung.
  • Erarbeitung und Einführung von Standards hinsichtlich bestehender Regularien, Gesetze und Richtlinien.
  • Bestimmung von Rollen und Verantwortlichkeiten.
  • Auswahl von Risiko-Methoden und -prozessen und Bestimmung von Controlling-Maßnahmen.

Gleichzeitig sollte das Risikomanagement in die jeweils vorhandene Organisationsstruktur eingebettet werden. Das heißt, entweder als Teil des IT-Sicherheits-Managements, Bestandteil des weiter gefassten Qualitäts-Managements, als separater Managementbereich oder Querschnittsfunktion für mehrere IT-Projekte. In der Regel ist das IT-Risk-Management ein Teil des Risikomanagements des gesamten Unternehmens.

Entwicklung eines ganzheitlichen Risikomanagements

Der CISO plant und implementiert umfassende Risikomanagement-Aktivitäten im IT-Bereich in verschiedenen Schrittabfolgen. Dabei ist zu beachten, dass bei einem Risikomanagement jeder Schritt für alle Risiken durchlaufen werden muss. Es ist wenig sinnvoll, wenn man zwar ein Risiko identifiziert, aber keine effektive Vorgehensweise dafür vorgesehen hat.

Schritt 1: Identifikation von Risiken

In der IT können Risiken unterschiedlicher Natur sein. Zum Beispiel Stromausfälle, Hardwaredefekte, Fehlen von ausgewiesenen IT-Spezialisten etc. Alle möglichen Risiken müssen gesammelt und kategorisiert werden.

Schritt 2: Bestimmung der Eintrittswahrscheinlichkeit

Je bekannter die Ursachen des Risikoeintritts sind, umso leichter lässt sich für jedes identifizierte Risiko auch die Wahrscheinlichkeit eines Ausfalls oder Störung bestimmen. Für einige Risiken greift der CISO auf allgemeine Ausfallwahrscheinlichkeiten oder Angaben des Herstellers wie zum Beispiel Haltbarkeit von Hardwareteilen zurück. Die Schätzungen sollten so objektiv wie möglich erstellt werden.

Schritt 3: Einschätzung der Schadenswirkung und –höhe

Für eine Bemessung der möglichen Schäden bietet sich ein Vergleich mit ähnlichen oder bereits eingetroffenen Störfällen an. Zusätzlich ist eine individuelle Beurteilung durch den CISO hilfreich, denn jedes Unternehmen ist von ganz spezifischen IT-Bereichen abhängig.

Schritt 4: Festlegung tolerabler Limits

Damit ist die Frage nach den noch hinzunehmenden Schadenshöhen oder –grenzen gemeint. Das heißt, es sollte nicht jeder Vorfall auch Maßnahmen aus dem Risikomanagement nach sich ziehen. Dafür werden Grenzen für Zwischenfälle definiert, die als „normal“ gelten und auch im laufenden Betreib behoben werden können - selbst wenn sie zu kleineren Beeinträchtigungen der unternehmerischen Prozesse führen. Technische Probleme dieser Art werden im laufenden Tagesgeschäft durch den Support gelöst.

Schritt 5: Umgang mit Risiken

Zum sogenannten Risiko-Handling gehören alle festgelegten personellen, organisatorischen, technischen und infrastrukturellen Maßnahmen. Der zuständige CISO erarbeitet daraus einen übergeordneten Maßnahmenplan, aus dem hervorgeht, welche Schritte im Falle des Eintritts eines Störfalls einzuleiten sind. Darüber hinaus erstellt der CISO zu jedem Risiko-Handling eine Kosten-Nutzen-Analyse der Maßnahmen.

Schritt 6: Risiko-Monitoring

Ein Risikomanagement als auch die dazu geplanten Sicherheitsmaßnahmen sollten in regelmäßigen Abständen überprüft und gegebenenfalls überarbeitet werden. Dadurch sollen neue Risiken erkannt oder auch Schwachstellen im bisherigen Risikomanagement aufgedeckt werden.

Übergreifende Standards als Richtungsvorgaben

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlicht regelmäßig Publikationen zur Erkennung von IT-Risiken sowie zur Umsetzung von Sicherheitsmaßnahmen. Damit soll der Betreiber ein mittleres und ausreichendes Schutzniveau für seine IT-Systeme erzielen.

Das Information Technology Infrastructure Library (ITIL) umfasst ein ablauforientiertes Regelwerk für eine kontinuierliche Überprüfung, Optimierung und Verbesserung von IT-Prozessen. Hier findet der Anwender Hinweise zum Risikomanagement in den Bereichen IT-Service-Community-Management, Information-Security-Management und Availability-Management

Das Control Objectives for Information and Related Technology (COBIT) ist ein Prozessmodell zur Kontrolle der gesamten IT-Systeme. COBIT zeigt detailliert den Aufbau eines Risikomanagements auf und wird in drei Ebenen unterteilt: Aktivitäten, Prozesse und Domänen.

(ID:46197470)

Weiterführende Inhalte