IT-Security und Recht CISOs sollten enger mit Rechts­beratungen zusammenarbeiten

Anbieter zum Thema

Vogel IT-Medien GmbH

Vogel IT-Akademie

SEPPmail - Deutschland GmbH

Die Folgen von Datenschutz-Verletzungen werden für das Management und CISOs immer schwerwiegender. Hinzu kommt, dass der Umfang an Vorschriften für IT-Security ebenfalls stetig anwächst. Anwälte helfen dabei, häufigere Änderungen bei Datenschutzgesetzen und Sicherheitsvorschriften effektiver umzusetzen.

CISOs haben es heutzutage nicht besonders leicht: Das Budget ist nie das, was sie für nötig halten, sie werden oft als Kostenstelle und Hindernis angesehen, ihr Einfluss auf größere Geschäftsentscheidungen, die sich auf die IT-Security auswirken, ist normalerweise begrenzt, und wenn es zu einem Vorfall kommt, ist der CISO die erste Person, der die Schuld zugeschoben bekommt. Dies hat dazu geführt, dass sich viele CISOs ständig auf einem Schleudersitz befinden.

Ganzheitlicher IT-Security-Ansatz

Die IT-Security ist nicht nur eine Aufgabe einer IT-Abteilung, sondern muss, um Wirkung zu zeigen, ein unternehmensweiter Ansatz zur Erstellung und Pflege eines effektiven IT-Security-Programms im Rahmen der Management-Funktionen sein. Daher sollte die Geschäftsleitung die Aufsicht übernehmen und das Programm mit ausreichenden Ressourcen und Finanzmitteln unterstützen.

Funktionierende IT-Security-Programme erfordern eine Koordination und Kommunikation über mehrere interne Abteilungen hinweg. Bei der Einrichtung eines solchen Programms müssen Organisationen insbesondere auch relevante Rechts- und Compliance-Experten so früh wie möglich in den Risikobewertungsprozess einbeziehen. Ein solches teambasiertes Modell ermöglicht es den Beteiligten, ihr Fachwissen ganzheitlich zu nutzen, was ein IT-Security-Programm nochmal deutlich robuster macht.

Hinzu kommt, dass unterschiedliche Abteilungen und Interessengruppen Sicherheitsrisiken oft aus sehr verschiedenen Perspektiven betrachten und diese somit auf unterschiedliche Weise beurteilen. Das bedeutet, ohne einen integrierten Governance-basierten Ansatz, der eine Vielzahl interner Interessengruppen einbezieht, kann es bei einem IT-Security-Programme teilweise zu erheblichen Schwachstellen und Lücken im Verständnis der Risiken kommen. Die logische Konsequenz: Fehlen geeignete Maßnahmen zu deren Eindämmung, kann dies die Schwere der Schäden erhöhen.

Mehrwerte von Rechts- und Compliance-Experten

Während Unternehmen meist ihren Fokus auf die Ausweitung der IT-Security-Maßnahmen richten, können Rechts- und Compliance-Experten auf viele verschiedene Arten Mehrwerte schaffen. Zu den Aktivitäten eines Rechtsberaters gehören beispielsweise folgende Aufgaben:

• Beteiligung an der Implementierung des IT-Security-Programms und der Schlüsselkontrollen eines Unternehmens.

• Bestimmung des Umfangs einer IT-Sicherheitsversicherung.

• Datenschutz- und Sicherheitsbestimmungen in der Lieferkette hinsichtlich des Zugriffs, der Nutzung, Speicherung und Weitergabe von Daten.

• Überprüfung öffentlicher Offenlegungen zu Vorfällen.

• Erarbeitung informeller Richtlinien zu Lösegeldzahlungen.

• Überprüfung von Incident-Response-Plänen.

• Unterstützung bei Mitarbeiterschulungen.

Vertragsanwälte handeln auch wichtige Datenschutz- und Sicherheitsbestimmungen in Lieferantenverträgen hinsichtlich der Daten aus. Tatsächlich könnten Unternehmen von ihren Partnern verlangen, dass sie während der Vertragslaufzeit eine akzeptable Mindestsicherheitsbewertung einhalten, die beispielsweise auf ein Rating von SecurityScorecard basiert.

Insbesondere sollte der Anwalt bei der Frage zur Seite stehen, ob ein bestimmtes Security-Ereignis unter Umständen eine gesetzliche Verpflichtung zur Benachrichtigung von Behörden, Versicherer, Wirtschaftsprüfer, Anbieter, eines oder mehrerer Kunden des Unternehmens oder sogar des Marktes auslöst. Wenn jedoch erst nach einem Security-Ereignis ein Rechtsbeistand hinzugezogen wird, kann dies für ein Unternehmen angesichts des Arbeitsaufwands, den der Anwalt in sehr kurzer Zeit bewältigen muss, recht teuer werden.

So verringert das frühzeitige Hinzuziehen eines Anwalts das Risiko eines Security-Vorfalls und gibt ihm ausreichend Zeit, sich mit der Netzwerkinfrastruktur eines Unternehmens besser vertraut zu machen und bereits solide Arbeitsbeziehungen mit dem CISO und den Rechts- bzw. Compliance-Teams aufzubauen.

Abschluss von Security-Versicherungen

Der Abschluss einer Versicherung für Security-Vorfälle, die tatsächlich das abdeckt, was benötigt wird, war für CISOs schon immer ein heikler Punkt. Es empfiehlt sich daher einen Rechtsanwalt einzuschalten, um CISOs bei der Analyse von Versicherungspolicen zu helfen, die richtigen Kauf- oder Verlängerungsentscheidungen zu treffen.

Hier dazu ein Fallbeispiel: Ein Unternehmen hat eine Versicherung zum Schutz vor Ransomware-Angriffen abgeschlossen. Es hat jedoch dabei versäumt, anzugeben, dass ein solcher Hacker-Angriff über Phishing beginnen könnte, da es an wirksamen E-Mail-Sicherheitskontrollen mangelt. Während das Unternehmen dies möglicherweise als einzelnes Risiko einstuft, betrachten einige Versicherer das Ereignis möglicherweise als finanzielles Risiko. Daher kann es sein, dass die abgeschlossene Cyber-Versicherung den Ransomware-Angriff nicht unbedingt abdeckt.

Versicherungen für CISOs und leitende Angestellte

CISOs sollten zudem über den Abschluss einer D&O-Versicherung (Directors-and-Officers-Versicherung) bzw. Organ- oder Manager-Haftpflichtversicherung nachdenken und sich gegebenenfalls von einem Anwalt dazu beraten lassen. Die Versicherung, die häufig auch das Unternehmen schützt, deckt Anwaltskosten, Vergleiche und andere Kosten ab. Eine D&O-Versicherung ist die finanzielle Absicherung einer Standard-Entschädigungsregelung, die leitende Angestellte für Schäden aus ihrer Funktion im Unternehmen schadlos hält.

Direktoren und leitende Angestellte können aus verschiedenen Gründen im Zusammenhang mit ihrer Unternehmensrolle verklagt werden. Dazu zählen unter anderem folgende Sachverhalte:

• Verletzung der Treuhandpflicht, die zu finanziellen Verlusten oder Insolvenz führt.

• Falsche Darstellung des Unternehmensvermögens.

• Missbrauch von Unternehmensgeldern.

• Betrügerische Handlungen.

• Nichteinhaltung der Arbeitsgesetze.

• Diebstahl geistigen Eigentums und Abwerben von Kunden der Konkurrenz.

• Mangelnde Unternehmensführung.

(ID:49763093)