Security Management by Design

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Akamai Technologies GmbH

Mangelndes Bewusstsein der Verantwortlichen

Gerade die das Kerngeschäft gefährdenden Risiken prägen jedoch das alltägliche Bewusstsein und Verhalten der Vorstände noch nicht in erforderlichem Ausmaß. Es mangelt vielerorts an einem aktiven und vorausschauenden Umgang mit der Cyberkriminalität.

Beim per se lückenhaften „Security Management by Reaction“-Ansatz ist die nächste Fehlerquelle nur eine Frage der Zeit. „Security Management by Design“ lautet deshalb – analog zur integrierten Softwareentwicklung – das Gebot der Stunde. Am Beispiel der zuvor bereits beispielhaft skizzierten Finanzbranche bietet hier unter anderem die neue MaRisk-Novelle (Mindestanforderungen an das Risikomanagement) eine sinnvolle Orientierung.

Das neue, von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) zum 1. Januar 2013 verabschiedete Regelwerk weist darauf hin, dass die Leitung der Risikocontrolling-Funktion einer Person mit einer ausreichend hohen Führungsposition zu übertragen sei. Zugespitzt formuliert bedeutet das, einen eigenständigen Risikovorstand (Chief Risk Officer, kurz: CRO) zu etablieren, und zwar auf Ebene der Geschäftsleitung.

Welche Aufgaben auf den CISO in Verbindung mit dem Top-Management zukommen, lässt sich – etwa mit Blick auf operationale IT-Risiken – wie folgt ausdrücken: Der Chief Information Security Officer bildet in enger Abstimmung mit dem CRO die zentrale Schnittstelle, bei der alle Fäden zusammenlaufen sollten.

Bei ihm gehen nicht nur die Berichte über aktuelle Bedrohungslage und neue Angriffsmuster ein. Er sollte und müsste auch Weisungsbefugnis und Durchgriffsrechte auf die operativen Einheiten in der IT und die Fachabteilungen haben. Nur so kann sichergestellt werden, dass nicht durch neue Geschäftsmodelle und Aktionen neue Risiken per Default eingebaut und ermöglicht werden, die ihm bereits bekannt sind.

(ID:38535060)