IT-Sicherheit und IT-Compliance bündeln Nachhaltige und wirksame IT-Compliance-Grundsätze

Unternehmen, die auf Geschwindigkeit bei der Digitalisierung setzen, tun gut daran, IT-Compliance tief in ihren Strukturen zu verankern. Nur so entwickelt sich die oft als Prüfstelle empfundene Disziplin zu einer integrierten Lösung, die dabei hilft, Innovationen schnell und nach den regulatorischen Spielregeln auf den Markt zu bringen.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Cohesity GmbH

valvisio international AG

Den Kunden glücklich machen, darum dreht sich in den vergangenen Jahren jegliches Bestreben von Wirtschaftsunternehmen. Nicht umsonst, denn die Kunden entscheiden am Ende über den Erfolg des Unternehmens. Das betrifft nicht nur moderne Produkte, sondern insbesondere das Vertrauen der Kund*innen in das Unternehmen. Um genau dieses Vertrauen geht es bei allen Themen, die sich bei Compliance bündeln. Sie gilt für alle Unternehmen, unabhängig ihrer Branche, denn sie sorgt für die Einhaltung von grundlegenden, gesetzlichen- und vertraglichen Anforderungen. Damit leistet sie einen wesentlichen Beitrag zur Aufrechterhaltung des Vertrauens und damit eines der wichtigsten Güter für Unternehmen.

Es gibt viel zu tun!

Schnelles Wachstum, hohe Umsätze, technologisch vor der Welle surfen sind klassische Zielbilder von Unternehmen. Diese zu erreichen erfordert viel Arbeit, Knowhow und Kreativität. Es verhält sich ein wenig wie auf einer Autobahn: Jeder möchte gerne schnell vorankommen, aber unfallfrei und ohne von der Spur abzukommen. Hier kommt die Compliance ins Spiel: Sie stellt hier die Leitplanken und notfalls auch Warnschilder auf. So sorgt sie für das Halten in der Spur und dient als Fundament und damit der nachhaltigen Stabilisierung des Unternehmens.

Mit dem Rückblick auf die Zielbilder verlassen wir nun den die allgemeine Compliance und richten den Fokus auf die Informationstechnologie. Sie ist in der aktuellen Zeit mit entsprechend spezifizierter Ausrichtung ein wesentlicher Wettbewerbsfaktor, der aber den Leitplanken der Compliance unterliegt.

Schritt für Schritt - Abgrenzung der IT-Compliance zur Compliance

Compliance definiert sich einfach gesagt als Einhaltung von Regeln. Diese Regeln ergeben sich aus unternehmensinternen, vertraglichen sowie gesetzlichen Vorgaben.

Die IT-Compliance fokussiert dabei IT-Systeme innerhalb der IT Systemlandschaft. Sie konkretisiert Anforderungen zur IT-, bzw. Informationssicherheit, zu den Schutzzielen (Vertraulichkeit, Verfügbarkeit, Integrität) sowie dem Datenschutz.

Hierfür werden beispielhaft allgemeingültige- und branchenspezifische Vorgaben aufgezeigt:

Allgemeingültige Vorgaben:

• EU-DSGVO

• BDSG-Neu

• GoBD

Branchenspezifische Vorgaben:

• Für Banken/Versicherungen: z.B KWG, VAG, MaRisk, BAIT/VAIT, Solvency II

• Für KRITIS-Unternehmen (bspw. Energieversorger): z.B. IT-Sicherheitsgesetz

Ziel der Vorgaben im Allgemeinen ist die Definition von branchenspezifischen Spielregeln, die einen fairen Wettstreit ermöglichen. Zugleich stellt man einen bedarfsorientierten Grundschutz für IT-Systeme und den zugehörigen Informationen sicher. Das bedeutet aber im Umkehrschluss auch: Wer sich nicht an die Regeln hält, muss mit Strafen rechnen und gefährdet damit möglicherweise auch den Anschluss an die Branchenspitze oder fällt zurück.

Rückendeckung muss von oben kommen

Die Umsetzung der Vorgaben erscheint oft schwer vereinbar mit bereits bestehenden und etablierten Prozessen des Tagesgeschäfts. Ein Beispiel ist die Umsetzung der EU-DSGVO zum 25. Mai 2018, mit einer definierten Umsetzungszeit von zwei Jahren.

Diese vermeintlich komplett neuen Anforderungen wurden von Unternehmen häufig unterschätzt, dabei ist das BDSG die wesentliche Grundlage der DSGVO, war jedoch kein unmittelbar geltendes Recht. Damit traten viele Unsicherheiten hinsichtlich der konkreten Anforderungen des Gesetzgebers ein und der großen Angst vor den drohenden Strafen (max. vier Prozent des Umsatzes aus dem Vorjahr, Art 83 DSGVO).

Rückendeckung musste aus dem Top-Management kommen. Da die Höhe der Strafzahlungen, die hier plötzlich im Raum standen, enorm hoch ausfiel, war und ist es wichtig, dass sich die Unternehmensleitung der Wichtigkeit der Compliance Anforderungen bewusst ist. Sie ordnet und priorisiert diese Anforderungen in die Unternehmensstrategie ein, gibt Ressourcen frei und ebnet damit den Weg, um effiziente und nachhaltige Prozesse und Methoden zu entwickeln.

Ebenso verhält es sich mit anderen gesetzlichen- und aufsichtsrechtlichen Anforderungen. Auch wenn die Maßnahmen für den Unternehmenserfolg zunächst „unsichtbar“ scheinen, geben die Anforderungen an die IT-Compliance einen „Industry-Best-Practice“ mit konkreten Maßnahmen zum Aufbau und Erhalt eines Grundschutzes vor. In diesem Zusammenhang ist es unerlässlich, die Grundsätze des Change-Managements zu verstehen und anzuwenden. Damit vermeiden die Verantwortlichen, dass Umsetzungen unkoordiniert und ohne die notwendige Kommunikation im Unternehmen erfolgen. Die Mitarbeitenden können sich hier schnell übergangen fühlen und können ablehnende Haltungen bis hin zu Ängsten bezogen auf die Sicherheit des Arbeitsplatzes entwickeln.

Schon wieder Veränderung - Change Management als Erfolgsfaktor

Mit koordinierter und geplanter Vorgehensweise zur Umsetzung in Kombination mit einer frühzeitigen Kommunikation, werden alle betroffenen Mitarbeitenden kontinuierlich an die Veränderung herangeführt und aus etablierten Arbeitsmustern gelöst. Sie können im Veränderungsprozess mitentscheiden und diejenigen, die mehr oder weniger starke Vorbehalte gegen diese Veränderung haben, können auf diesem Weg begleitet werden. Dabei ist es essentiell, dass die positiven Aspekte aber auch die persönlichen Empfindungen wie Ängste oder Sorgen zu einem Wandel herausgearbeitet und miteinander besprochen werden, um die gesetzlich- oder aufsichtsrechtlich bindenden Anforderungen umzusetzen. In der Literatur kann man mit dem theoretischen Modell nach Lewin diesen Veränderungsprozess in drei wirklich sehr grobe und übergreifende Phasen unterteilen, die natürlich deutlich mehr mit Umsetzungsinhalt gefüllt werden müssen:

• Unfreezing (Auftauen)

• Change / Moving (Verändern / Bewegen)

• Refreezing (Stabilisieren)

Mit den Kernaspekten dieser Struktur kann der Veränderungsprozess für jegliche Anforderungen angewandt werden. Anzumerken ist jedoch, dass in diesen Phasen immer wieder Hürden entstehen, die den Veränderungsprozess verzögern können. Ein geeigneter Prozess ist jedoch für eine erfolgreiche Umsetzung essentiell. In Bezug auf die IT-Compliance dient ein unternehmensweit akzeptierter Prozess dem wirksamen und nachhaltigen Aufbau eines Grundschutzes.

Zurück zur Schreibmaschine? - Grundschutz gegen Cyberangriffe

Der Grundschutz definiert sich in Bezug auf die IT-Sicherheit als ein „Mindestmaß“ geeigneter Schutzmechanismen zur Abwehr von Cyberrisiken. Das bedeutet nicht, sich von allen digitalen Wegen zurück zum Analogen zu bewegen, um mögliche Komplexitäten zu vermeiden. Die seit Jahren voranschreitende Digitalisierung, die auch Wettbewerbsvorteile fördert, führt zum Aufbrechen der lokalen Unternehmensgrenzen und eröffnet jedoch auch damit die Möglichkeit, auf globaler Ebene von Cyberkriminellen auf vielfältige Art und Weise angegriffen zu werden.

Es entwickeln sich dadurch immer ausgefeiltere und mehrstufige Angriffsvektoren, die auf kritische und sensible Unternehmenswerte abzielen. In den vergangenen Jahren meldete das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine stetig steigende Entwicklung von erfassten Cyberangriffen. Der Lagebericht im Jahr 2021 belegt eine deutliche Zunahme von cyberkriminellen Erpressungsmethoden, einen starken Anstieg von Schadprogramm-Varianten oder Bot-Infektionen. Durch diese Entwicklung erhöht sich auch die Wahrscheinlichkeit von Sicherheitsvorfällen und damit einem möglichen Reputationsschaden.

Wird ein Cyberangriff erfolgreich durchgeführt, hat das auf das Unternehmen eine enorme Auswirkung. Je nach Angriff werden unterschiedliche Schutzziele verletzt. Die Unternehmensleitung kämpft bei mehrstufigen Cyberangriffen schnell an verschiedenen Fronten unter der Einbindung von angrenzenden Abteilungen, sowie des Krisenstabs. Ein effektiver Grundschutz kann die Folge derartiger Cyberangriffe begrenzen und wirkt sich im Bedarfsfall auch mildernd auf Reputationsschäden und auf gesetzlich definierte Strafhöhen aus, was implizit eine indirekte Sicherung von Arbeitsplätzen darstellt.

Der Grundschutz stellt aber nur eine Basis an Maßnahmen dar und es bedarf hierfür einer unternehmensindividuellen Analyse für weitere wirksame Mechanismen, um sich gegen mögliche Angriffe präventiv zu schützen. Das Bewusstsein über die Entwicklungen und möglichen Auswirkungen von der Unternehmensführung spielt eine wesentliche Rolle, um geeignete Ressourcen für weitere Umsetzungen zugesichert zu bekommen. Idealerweise werden Ressourcen nicht nur für einmalige Maßnahmen bewilligt, denn die Bedrohungslage wächst rasant und schon bis heute waren bereits 90 Prozent der deutschen Unternehmen von einem Cyberangriff betroffen. Um diese Lage kontinuierlich zu analysieren, zu bewerten und um mögliche Angriffe frühzeitig zu erkennen, gibt es Tools wie zum Beispiel Security Incident and Event Monitoring (SIEM), Vulnerability Scanner, Threat Intelligence oder Next-Generation Firewalls. Doch auch die aktuellste Software stößt hier an Grenzen. Gegen alles, was die technischen Barrieren überwindet, helfen dann nur noch die Mitarbeitenden. Sie sind die letzte „Schutz-Instanz“, daher lohnt es sich, hier regelmäßig zu schulen und sie hinsichtlich dieser Angriffe zu sensibilisieren - auch außerhalb der IT-Abteilungen.

Dieses Zusammenspiel zwischen Mensch und Technik unterliegt durch die Entwicklungen der Cyberangriffe einer kontinuierlichen Veränderung. Sich daraus ableitende Maßnahmen sind in regelmäßige, oder ereignisgesteuerte Zyklen der Überprüfung, Anpassung und Verbesserung zu überführen.

In diesem Kontext unterliegt auch die IT-Compliance einer stetigen Weiterentwicklung: Vorgaben werden immer wieder durch sich ändernde Gegebenheiten, neue Erkenntnisse und insbesondere den Veränderungen durch die fortschreitende Digitalisierung angepasst. Diese genannten Aspekte verfolgen das gemeinsame Ziel, einen bestmöglichen Schutz für Daten und Informationen in Bezug auf alle Schutzziele zu ermöglichen: Vertraulichkeit, Verfügbarkeit und Integrität.

Kraftbündelung: IT-Sicherheit und IT-Compliance

Unternehmen sollten sich zum Ziel setzen, IT-Compliance und IT-Sicherheit als gemeinsame Einheit zu verstehen. Nur so kann es gelingen, sowohl die von Dritten vorgegebenen Anforderungen, als auch die eigenen Ansprüche an Aktualität und Innovation der internen Security Prozesse und Tools in einen kontinuierlichen Zyklus der Verbesserung und Weiterentwicklung zu verankern. Als Musterbeispiel gilt die Methode des „Plan-Do-Check-Act-Zyklus“ aus dem Qualitätsmanagement. Dabei werden die Prozesse und Verfahren immer wieder und damit regelmäßig einer grundsätzlichen Prüfung unterzogen, um deren Funktions- und Wirkungsweise neu zu bewerten. Identifizierte Verbesserungspotentiale können mit Hilfe des Change-Managements anschließend kontrolliert und transparent in das gesamte Unternehmen zur Umsetzung kommuniziert werden.

Drei Grundsätze für eine IT-Compliance der Zukunft

Mit der Umsetzung von IT-Compliance- und IT-Security-Anforderungen und einer koordinierten Eingliederung ins Tagesgeschäft kann es möglich werden, einfacher und zügiger auf sich ändernde Vorgaben und Bedrohungslagen zu reagieren. Zumeist muss das Management bereits bestehende Prozesse und Vorgehensweisen lediglich geringfügig anpassen. Damit kann man einen Compliance-by-Design-Modus entwickeln. Eine solche Entwicklung würde eine höhere Akzeptanz im gesamten Unternehmen bewirken und in der Regel als weniger störend und positiver wahrgenommen werden. Gleichzeitig reduziert sich dadurch das Risiko von Reputations- und finanziellen Schäden wesentlich.

Als Konzentrat können nachfolgende drei Leitsätze bei den Entscheidern Berücksichtigung finden:

• 1. (IT-) Compliance ist der Startpunkt für einen angemessenen Grundschutz

• 2. IT-Security sollte eigene Ansprüche an Innovation und Sicherheit wiederspiegeln

• 3. Änderungen müssen stets transparent und koordiniert ins Unternehmen integriert werden

Über die Autoren

Natalie Maier ist Technology Compliance Engineer bei der Interhyp AG.

Pascal Müller ist Technology Compliance Engineer bei Interhyp.

(ID:48015747)