IT-Management: Ohne konsistente Security Governance herrscht Chaos

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Onapsis Europe GmbH

Kontinuierliche Betrachtungsweise erforderlich

Eine weitere Gemeinsamkeit liegt in dem Ansatz des Kontinuierlichen Verbesserungsprozesses, dem Umwelt-, Qualitäts- und Sicherheitsmanagement nach ISO 27001 sowie Cobit und ITIL folgen. Was die Vermeidung eines „bloßen Papiertigers“ anbelangt, beugen diesem einige wenige Metriken vor, die regelmäßig gemessen und berichtet werden. Dadurch verschiebt sich die innerbetriebliche Aufmerksamkeit der Verantwortlichen von der reinen Dokumentation auf die nachhaltige Aktion, sprich auf konkrete Ergebnisse.

Einige große deutsche Konzerne weisen laut Knäbchen bereits heute eine leistungsfähige Security Governance auf, die die Informationssicherheit erfolgreich in den Zentralbereichen, der IT und den Geschäftsbereichen steuere. „Eine insgesamt doch erfreulich geringe Zahl an gravierenden Sicherheitsvorfällen ist dafür ein Indiz“, bilanziert der Experte. Natürlich ist dieser Status Quo auch das Ergebnis straffer Konzernstrukturen und nicht gerade unerheblicher Investitionen.

„Klar ist auch, dass eine hohe Qualität der Security Governance nur durch kontinuierliche Maßnahmen auch weiterhin gewährleistet ist“, wagt Knäbchen den Blick nach vorne. Daneben gibt es aber auch weiterhin eine Vielzahl von Unternehmen, bei denen Handlungsbedarf bestehe. „Dafür sind die zuletzt in der Presse berichteten Verluste von personengebundenen Daten etwa von Bewerber- und Mobilfunkdaten ein beredtes Zeugnis“, vergleicht Knäbchen.

Als Dreh- und Angelpunkt sieht auch der Experte von Deloitte das Cobit-Rahmenwerk – nach Bedarf ergänzt durch ein Information Security Management System nach ISO 27001, das als Orientierung für ein Security Governance-Modell dienen solle. „Die Formulierung von Sicherheits-Kontrollzielen erlaubt die einfache Verknüpfung mit anderen internen Kontrollsystemen und kann zudem ohne Veränderungen als Grundlage für die Steuerung von externen Dienstleistern im Falle eines Outsourcings verwendet werden“, bringt Knäbchen die Vorteile auf den Punkt.

Dadurch lassen sich nach Auffassung des Experten gleich zwei Fliegen mit einer Klappe schlagen. Das Unternehmen kann nämlich einerseits langfristig relativ stabile Zielvorgaben setzen, die sich jedoch gleichzeitig aber auch flexibel an die sich schnell ändernde technische und organisatorische Umsetzung anpassen können.

Im zweiten Beitrag dieser Serie erfahren Sie mehr über die Verantwortlichkeiten im Rahmen der IT Security Governance, und welche Rolle im Speziellen dem CISO zukommt.

(ID:2019472)