Sicherheit als Baustein fürs IT-Projekt-Management

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

TXOne Networks

„Security by Design“ als grundlegendes Prinzip

Ein Ausweg aus dieser Lage lässt sich bereits in vorhandenen Projektstrukturen realisieren. Es bedarf jedoch eines Umdenkens der IT-Projektverantwortlichen und der Unternehmensleitung. IT-Projekte müssen das Thema Informationssicherheit von Beginn an transparent und messbar behandeln.

Projektorganisationen in Unternehmen müssen zu einem strengeren, wiederholbaren Prozess übergehen, der das Thema Sicherheit als elementaren Baustein in jeder Phase einschließt und verbindliche Verantwortlichkeiten für den Security Manager in jeder Projektphase festlegt.

Diese Vorgaben müssen durch die Unternehmensleitung bekräftigt und legitimiert sein. Insbesondere bei den Phasenübergängen muss eine formelle Freigabe-Regelung getroffen werden, um den obligatorischen Aspekt von „Security by Design“ im IT-Prozess zu unterstreichen.

Erfahrungen zeigen, dass das Sicherheitsteam, insbesondere in der Planungs- und Realisierungsphase, in enger Abstimmung mit dem Projektteam stehen sollte. Es bietet sich daher an, einen dedizierten Security Advisor innerhalb jedes Projekts vorzusehen und vollständig in die Projektorganisation aufzunehmen. Er sollte jederzeit für alle Projektmitglieder als Ansprechpartner zur Verfügung stehen.

Kostenreduktion bei konsequenter Umsetzung

Diese Abbildung zeigt schematisch die Rollen zu Beginn eines IT-Projekts. Je mehr Beiträge der Security Manager zu Beginn des Projekts liefern kann, desto geringer sind die notwendigen Anpassungen in späteren Projektphasen und damit die Projektkosten. Dies gilt für neue Systeme wie für die „nächste Generation“ eines bestehenden Systems.

Das Sicherheitsteam sollte zusätzliche Sicherheitsanforderungen und eine verbindliche Sicherheitsarchitektur definieren sowie eine Bedrohungsanalyse durchführen. Die Ergebnisse fließen dann in die Gesamtkonzeption ein und verhindern so aufwändige Korrekturen in späteren Projektphasen.

Eine konsequente Mitarbeit des Sicherheitsteams im Verlauf des Projekts, seine Analysen und Dokumentationen, sichern den Erfolg des Projekts im Hinblick auf Datenschutz und Datensicherheit.

Messbarer Erfolg

Darüber hinaus können kosten- und zeitintensive Nacharbeiten vermieden werden, so dass Budget-Überschreitungen und Projektverzögerungen minimiert werden. Eine Reduktion von sicherheitskritischen Fehlern und eine schnellere Überführung der Lösung in das Informationssicherheits-Management-System (ISMS) dienen als weitere Kennzahlen für einen wirksamen Sicherheitsprozess.

Bei einer durchgängigen Anwendung des neuen Prozesses wird sich auch das Grundverständnis der Mitarbeiter zum Thema Informationssicherheit erhöhen. In Folgeprojekten lässt sich dementsprechend ein kürzerer Projektzyklus erreichen.

Gerade bei der Einführung dieses strengeren Prozesses sind flankierende Schulungen aller Projektmitglieder und eine regelmäßige Revision der Projekte notwendig. Die Ergebnisse und abgeleiteten Handlungsempfehlungen aus unabhängigen Audits helfen, den Prozess zu optimieren, verbleibende Schwachstellen aufzudecken und die Voll¬ständigkeit der Dokumentation zu beurteilen.

Die zunehmende Verzahnung und Abhängigkeit von IT-Systemen untereinander erhöht nicht nur die Komplexität der eigenen Lösungslandschaft, sondern auch die Anforderungen an das Sicherheits- und Projekt-Management. Neue Technologien und die Nutzung bewährter Technik in veränderten Einsatzszenarien vergrößern die Angriffsoberfläche auf die Umgebungen und die schützenswerten Daten von Unternehmen.

Waren IT-Systeme in der Vergangenheit oft Insellösungen und in klar abgrenzbare Perimeter voneinander getrennt, so verschwimmen diese Grenzen durch die steigende Vernetzung und Mobilität zusehends. IT-Projekte bedürfen mehr, als zuvor einer intensiven Planung und durchgängigen Steuerung über alle Phasen hinweg.

* Patrick Michaelis ist CISSP und CSSLP und leitet den Bereich Informationssicherheit bei AC – The Auditing Company, Sachverständigen-Sozietät Dr. Schwerhoff (AC).

(ID:43614677)