Der privilegierte IT-Administrator als Risikofaktor im Unternehmen

Aus großer Macht erwächst große Verantwortung

Wertbeständigkeit ist ein weiterer Aspekt, der meiner Meinung nach ähnlich wie die Vereinbarkeit von privaten und beruflichen Interessen für die Arbeit eines IT-Administrators entscheidend ist. Jeder professionelle Busfahrer verliert – wenn ihm privat Trunkenheit am Steuer nachgewiesen werden konnte – seinen Führerschein und somit seinen Beruf. Seinen Job ist auch ein Polizist los, der als Hooligan bei einem Fußballspiel identifiziert wird.

Das sind in der Tat drastische Maßnahmen, doch in diesen beiden genannten Berufsgruppen wird ein hohes Verantwortungsbewusstsein vorausgesetzt. In der Position des IT-Administrators trägt man auch eine große Verantwortung für das Unternehmen, in dem man arbeitet – und für die Menschen, die dort beschäftigt sind. So sind ein einwandfreier Wertekodex und die Vereinbarkeit von privaten und beruflichen Interessen zu prüfen und bei Fehltritten zu sanktionieren.

Extreme Privilegien erfordern außergewöhnliche Maßnahmen

Wie auch Stephen Fedtke in einem KES-Artikel erläutert, sind es die kritischen Systeme einer Organisation, die besondere Qualifikationen erfordern, da die Betreiber dieser Systeme einen besonderen Status innehaben. Bei Fedtke wird dies mit dem Begriff EPIS umschrieben. EPIS steht für „Extremely Priviledged IT Staff“, das entsprechend qualifiziert und zertifiziert sein sollte. Gleichzeitig muss die Arbeit der EPIS regelmäßiger Kontrollen unterliegen.

In diesem Zusammenhang spricht auch nichts gegen eine Prüfung der moralischen und ethischen Eignung sowie der Zuverlässigkeit. In vielen Fällen empfiehlt sich sogar eine Sicherheitsüberprüfung des IT-Personals mit entsprechenden „Machtumsetzungsgeschwindigkeiten“. Letztere beschreibt Stephen Fedtke als eine Metrik aus faktisch vorhandener Macht und potentieller Schadenssumme, ähnlich der Metrik für das obere Management, die als „Budget-Entscheidungsgeschwindigkeit“ bekannt ist.

Natürlich darf und soll niemand dazu gezwungen werden, solche Überprüfungen über sich ergehen zu lassen – aber das werden Piloten auch nicht. Und so ist dies de facto kein Hinderungsgrund für den Berufswunsch Pilot. Was spricht dagegen, diese Überprüfungen zu einem ähnlich festen Bestandteil des Berufsbildes werden zu lassen, wie es regelmäßige Auffrischungszertifizierungen bei Hardware und Software heute schon sind?

Eine entsprechende Entlohnung dieser Verantwortung ist aus meiner Sicht eine logische Konsequenz dieser Durchleuchtung und der Loslösung vom „Arbeitnehmerdatenschutz“. Oder stellen wir die Entlohnung eines Prokuristen und Vorstandes demgegenüber in Frage?

Rainer Rehm

CISSP

Rainer Rehm, (ISC)²-zertifizierter CISSP, arbeitet als Security Architect im Global Security Department bei Nokia Siemens Networks.

(ID:2050752)