Kostenvermeidung durch die richtige Organisation Gesamtverantwortung für IT-Sicherheit

In vielen Unternehmen gibt es zwar einen Chief Information Security Officer. Faktisch ist die Verantwortung für die IT-Sicherheit aber auf viele Bereiche verteilt. Netzwerksicherheit, Endpoint Security oder auch Identity- und Access-Management werden isoliert betrachtet. Das verursacht unnötige Kosten.

Anbieter zum Thema

Mimecast Germany GmbH

Rapid7 Germany

TXOne Networks

KuppingerCole Analysts AG

Martin Kuppinger: „IT-Sicherheit erfordert eine strukturierte Analyse der maßgeblichen Risiken.“

Das liegt daran, dass die Zuständigkeit für viele Aufgaben der IT-Sicherheit auf unterschiedliche operative Bereiche der IT aufgeteilt ist. Der CISO hat oft zwar Kontrollfunktionen und soll Architektur- oder Investitionsentscheidungen mit Blick auf die IT-Sicherheit zustimmen. Der tatsächliche Einfluss auf das, was im Bereich der IT-Sicherheit investiert und betrieben wird, ist häufig aber gering.

Es reicht nicht aus, wenn nur Vorgaben beispielsweise zur Stärke der Authentifizierung oder der Erfordernis, bestimmte Informationen zu verschlüsseln, gemacht werden können. Denn solche Vorgaben alleine führen nicht zu einem konsistenten Ansatz für IT-Sicherheit, der darauf abzielt, gezielt die größten Risiken zu verringern.

Das Problem Kosten: Punktlösungen kosten mehr

Eines der Resultate einer solchen Organisationsstruktur ist, dass nicht gezielt in IT-Sicherheit investiert wird. Im schlechtesten Fall kümmern sich Bereiche wie beispielsweise die IT-Infrastruktur-Administratoren mit dem Endpoint-Management nicht ausreichend um das Thema. In vielen Fällen erhalten die Fachabteilungen, wie heute noch oft beim Thema IAM (Identity and Access Management) zu beobachten, auch keine ausreichenden Budgets.

Im besten Fall wird in Sicherheit investiert – aber an vielen verschiedenen Stellen und mit einem Mangel an Koordination. Ein gutes Beispiel ist die Sicherheit von mobilen Endgeräten, wobei es eigentlich nicht um die Gerätesicherheit sondern um die Informationssicherheit geht.

Hier finden sich Lösungsansätze im Netzwerkbereich, beim Mobile Device Management, auf Anwendungsebene, als Teil von IAM-Lösungen und als Teil des Information Rights Management. Wenn es keine koordinierte Gesamtstrategie gibt, ist das Risiko von unnötigen Investitionen und Betriebskosten hoch.

Das Problem Sicherheit: Punktlösungen sind nicht sicher

Fast noch schlimmer ist aber, dass gerade in solchen Situationen zwar tendenziell zu viel ausgegeben, aber zu wenig erreicht wird. Denn ohne Abstimmung der Maßnahmen auf verschiedenen Ebenen wird man zwar einzelne Risiken adressieren, aber oft Schlupflöcher lassen, die auf einer ganz anderen Ebene gestopft werden müssten. Man kauft sich also oft nur vermeintliche Sicherheit ein.

IT-Sicherheit erfordert eine strukturierte Analyse der maßgeblichen Risiken. Die Kenntnis von Risiken und ihre Bewertung ist die Basis, um dann entscheiden zu können, welchen Mix an technischen und organisatorischen Maßnahmen es braucht, um die Risiken erfolgreich verringern zu können.

Dazu braucht es technische Gesamtarchitekturen, die den Blick über Teilbereiche wie die Netzwerksicherheit mit Firewalls oder IDS/IPS-Lösungen oder die Endpoint-Sicherheit hinaus auf Gesamtlösungen richtet. Oft gibt es in dem einen oder anderen Bereich auch schon etwas, das hilft, Risiken in anderen Bereichen zu reduzieren oder sie gar nicht entstehen lässt.

Wer beispielsweise Informationen mit Hilfe von Information Rights Management über den gesamten Lebenszyklus hinweg verschlüsselt, kann vielleicht an anderer Stelle auf spezielle Verschlüsselungslösungen für sichere File-Transfers verzichten. Solange es aber niemand in der Organisation gibt, der hier den Durchgriff hat, gibt es genau diese ganzheitliche Sichtweise nicht. Mit mehr Geld wird dann weniger erreicht.

Zentralisierung schafft Probleme aus der Welt

In den IT-Organisationen braucht man einerseits eine zentrale Richtlinienverantwortung und Governance für den Bereich IT-Sicherheit, andererseits aber auch eine zentrale oder zumindest koordinierte Umsetzung und einen zentralen oder zumindest koordinierten Betrieb.

Projektorganisationen reichen dafür nicht aus, weil IT-Sicherheit ein Dauerthema ist. Es benötigt eine adäquate Organisation. Diese umfasst einerseits die Einheit, die für Richtlinien und Governance zuständig ist. Sie muss aber auch operative Einheiten umfassen, die sich um die Architektur und konzeptionelle Vorgaben kümmert. Idealerweise werden dabei auch die Aufgaben, die primär IT-Sicherheit sind, wie beispielsweise Firewalls, Endpoint-Sicherheit oder IAM, zentralisiert.

Alle Bereiche werden sich aber nicht zentralisieren lassen. Das wird schon deutlich, wenn es um die Anwendungsentwicklung und -beschaffung geht, aber auch beim Betrieb von grundlegenden Infrastrukturen wie dem Active Directory, die nicht nur Sicherheits-, sondern auch Infrastrukturfunktionen haben.

Dort, wo sich Aufgaben nicht bündeln lassen, braucht es aber eine Richtlinienkompetenz für den Bereich IT-Sicherheit und Governance-Konzepte, mit denen beispielsweise Anwendungsarchitekturen bereits frühzeitig unter Sicherheitsaspekten geprüft werden oder Beschaffungsentscheidungen – auch von Cloud-Diensten – frühzeitig auf ihre Konformität zu den IT-Sicherheitsvorgaben geprüft werden.

Was Unternehmen heute zwingend benötigen, sind IT-Organisationen, bei denen das Thema IT-Sicherheit nicht mehr unkoordiniert auf viele Bereiche aufgeteilt ist, sondern gebündelt ist. Das bedeutet eine neue, stärkere Rolle für den CISO – aber nicht nur für ihn.

* Martin Kuppinger ist Gründer des Analystenunternehmens Kuppinger Cole, das sich mit digitalen Identitäten, Identity und Access Management, GRC (Governance, Risk Management, Compliance) und Cloud Computing beschäftigt.

(ID:42981225)