IT-Management: Ohne konsistente Security Governance herrscht Chaos

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Onapsis Europe GmbH

Spezielle Stolpersteine der IT Security Governance

Generell gilt das Motto: Nur das was man messen kann, kann man auch steuern. Hilft das Formulieren einer „IT Security Governance“ überhaupt weiter oder schießt das Unternehmen da gänzlich übers Ziel hinaus? Denn mit dem Begriff Governance verbindet sich zunächst einmal die Steuerung der Unternehmensstrukturen und -abläufe durch Vorstand und Management.

„Für die Steuerung der Security bestehen indes spezifische Hürden“, warnt Knäbchen. Als Ausgangspunkt für die interne Abklärung von Prozessroutinen zur Ausgestaltung der Security Governance dienen unter anderem folgende Fragen:

• Wie kritisch ist die Ressource „Information“ – insbesondere im Vergleich mit anderen unternehmenskritischen Werten (Assets) wie Marktführerschaft, Reputation, Kundenbasis, Mitarbeiterstamm?
• Wie lassen sich Investitionen in Security und ihr langfristiger Erfolg messen?
• Wie lassen sich unterschiedliche Governance-Anforderungen – z.B. Corporate Governance und IT-Governance – zu einem effizienten Gesamtsystem zusammenfügen?

Drei grundlegende Maßnahmen stehen nach Auffassung des Experten am Beginn einer erfolgreichen Security Governance: Informationssicherheit sollte nicht nur auf die Agenda des Vorstands rücken. Der Vorstand sei außerdem in der Pflicht, Verantwortliche für die Informationssicherheit einzusetzen und mit entsprechend weitreichenden Kompetenzen auszustatten, beispielsweise einen „Chief Information Security Officer“.

Hinzu kommen weitere Personen in den Geschäftsbereichen, die rechenschaftspflichtig werden, aber im Gegenzug dazu auch aktiv durch den Vorstand unterstützt werden. „Die Verantwortlichen formulieren Ziele, Organisation und Prozesse der Security Governance weiter aus“, erläutert Knäbchen das weitere strukturierte Vorgehen.

Reporting und unabhängige Kontrolle gewährleisten den dauerhaften Erfolg der geschaffenen Strukturen. Die Verantwortlichen beziehen dabei die vorhandenen Elemente des Security Managements mit ein, etwa das in vielen Betrieben ohnehin bereits gut ausgeprägte technische IT-Sicherheitsmanagement.

Ein pragmatischer Ansatzpunkt ist das Aufgreifen der Gemeinsamkeiten aller „Governances“, die sich in ihrer Ausrichtung unter anderem auf die Elemente Wertbeitrag, Ressourcensteuerung, Leistungsmessung und Risikominimierung fokussiert. Damit können unterschiedliche Governance-Modelle gleichartig strukturiert und berichtet werden.

Seite 5: Kontinuierliche Betrachtungsweise erforderlich

(ID:2019472)