Security by Design Sicherheit als Baustein fürs IT-Projekt-Management

Jedes IT-Projekt sollte möglichst früh auch aus Sicherheitssicht betrachtet werden. In der Regel wird IT-Sicherheit aber eher als hinderlich für den Geschäftsbetrieb gesehen, denn als Chance für Innovationen. Daran haben auch die Sicherheitsvorfälle der vergangenen Monate nichts geändert.

Anbieter zum Thema

SonicWall Germany

Arvato Systems

Vogel IT-Akademie

Informationssicherheit ist eine Notwendigkeit. Trotz der hohen medialen Präsenz der letzten Monate gilt sie aufgrund von Sorglosigkeit und der immer kürzeren Produkt- und Projektzyklen trotzdem als Hindernis, statt als Chance für Innovationen. Mit dem im Juli 2015 veröffentlichten IT-Sicherheitsgesetz hat die Bundesregierung auf die zunehmenden Risiken reagiert und entsprechende Maßnahmen gefordert.

Dies führt zwar zu einer allgemein steigenden Sensibilisierung in Unternehmen, Sicherheit kann jedoch nicht allein über Investitionen bei Sach- und Personalmitteln erhöht werden. Für ein langfristig hohes Sicherheitsniveau müssen etablierte Prozesse überarbeitet und neue Verfahren konsequent umgesetzt werden.

„Security by Design“ und „Secure by Default“ sind Grundsätze, die nicht nur in Software-Entwicklungsprojekten Anwendung finden müssen. Jedes IT-Projekt sollte zukünftig unter diesen Maßgaben aufgesetzt und geplant werden. Das schafft eine nachhaltige Verbesserung der Gesamtsicherheit von Unternehmensinfrastrukturen und bietet Chancen für neue, innovative und gleichzeitig sichere Lösungen.

Klassische IT im Wandel

Fortschritt, neue Einsatzszenarien und die Verzahnung sowie Abhängigkeiten von IT-Systemen halten Einzug in nahezu allen Bereichen unseres täglichen Lebens. Schlagworte wie „Industrie 4.0“, „Mobile Payment“ oder das „Digitale Krankenhaus“ zeigen, dass auch vormals konservativ ausgerichtete Infrastrukturen einem rasanten Wandel ausgesetzt sind.

Die intensive Diskussion zum Thema Informationssicherheit der vergangenen Monate hat gezeigt: trotz des jahrelangen Bemühens, sichere Lösungen anzubieten und Sicherheitskonzepte in standardisierten Management-Frameworks abzubilden, sind Umfang und Auswirkungen möglicher Lücken und Angriffsvektoren in IT-Systemen oft nicht ausreichend oder zu spät erfasst und behandelt worden.

Der Kosten- und Zeitdruck auf der einen und die zunehmende Komplexität heutiger IT-Systeme auf der anderen Seite erschwert es den auf das jeweilige Projektziel spezialisierten Projektteams, die Folgen ihres Handelns in Bezug auf Datenschutz und Datensicherheit umfassend abzuschätzen.

Der Security Manager hat in klassischen IT-Projekten für gewöhnlich kein Mandat, schon in den ersten Phasen steuernd und verbindlich in den Umfang und das Design einer Lösung einzugreifen. So werden neue IT-Systeme oder Software-Produkte oft erst unmittelbar vor, schlimmstenfalls nach der Überführung in den Betrieb auf Schwachstellen untersucht und Handlungsempfehlungen für Gegenmaßnahmen entwickelt.

Der Aufwand, notwendige Maßnahmen zur Informationssicherheit nachträglich umzusetzen, steigt erfahrungsgemäß jede Projektphase deutlich an. Dies führt in vielen Fällen dazu, dass Lösungen mit bekannten Sicherheitslücken eingesetzt werden oder es zu erheblichen Projektverzögerungen und -mehrkosten kommt, um die erkannten Risiken zu minimieren.

(ID:43614677)