Startseite > Datacenter & Verkabelung > Sicherheit, Compliance und Datenschutz auf hohem Niveau

Sicherheit

Sicherheit, Compliance und Datenschutz auf hohem Niveau

21. April 2011, 11:23 Uhr | Alfred Koch, KPMG und Norbert Decker, Twinsec.

Fortsetzung des Artikels von Teil 6

Interview: „Geschäft und Technik müssen nahtlos zusammenwirken“

SIEM ist keine Lösung von der Stange. Ganz im Gegenteil: Sie sollte professionell geplant, umgesetzt und laufend an die Erfordernisse des Geschäfts, der Organisation und der IT angepasst werden. Diese Machart ruft förmlich nach kompetenter Unterstützung. Norbert Drecker und Alfred Koch stellen sich den Fragen der funkschau.

funkschau: Wieso ist es so wichtig, auch mit der Technik, also mit SIEM, von Anfang an die richtigen Weichen zu stellen?
Norbert Drecker: Für SIEM muss sowohl das Geschäft als auch die IT durchdrungen werden. Genauer gesagt müssen die IT-Systeme respektive -Komponenten als potenzielle Informationsgeber zu den Geschäftsprozessen und den daran beteiligten Akteuren in Bezug gesetzt werden. Diese Vorarbeit beugt nicht nur einer Über- beziehungsweise Unterdimensionierung der SIEM-Lösung vor. Sie ist auch entscheidend für die künftige Qualität der Analysen und Auswertungen und somit für das Maß an Sicherheit, Compliance und Datenschutz, das im Unternehmen erreichbar ist.

funkschau: Viele Unternehmen sind bereits hier überfordert?
Drecker: Ja. Meist wird in den Unternehmen, animiert durch IT-Produkthersteller, ein zu techniklastiger Projektweg eingeschlagen. Das geht auf Kosten des Wirkungsgrads der Kontroll- und Alarmierungslösung. Die anvisierten Sicherheits-, Compliance- und Datenschutzziele, eben weil zu techniklastig, werden nicht erreicht. Diese falsche „Bottom-up“-Vorgehensweise geht außerdem auf Kosten des Budgets, weil es die Investitionen und Aufwendungen unnötig in die Höhe treibt. Anders mit kompetenter Unterstützung: Sie wird für ein erfolgreiches Projekt Prozesse, Regeln und IT-Informationen richtig gewichten, professionell zusammenführen und koordinieren und daraus die richtigen Schlüsse ziehen. Nur auf diese Weise entsteht eine Kontroll- und Alarmierungslösung, die hinreichend greift und das Budget nicht unnötig strapaziert.

funkschau: Haben nicht viele externe Berater und Dienstleister ähnliche Probleme wie die Unternehmen: entweder zu technologie- oder zu geschäftslastig?
Alfred Koch: Genau deshalb ist es wichtig, sich Methodik und Projektvorgehensweise der externen Unterstützung genau anzusehen. Wenn beispielsweise über die Einführung einer SIEM-Lösung nachgedacht wird, ist sicherzustellen, dass das künftige Kontroll- und Alarmierungssystem ein integrierter Teil des unternehmensweiten Compliance- und Sicherheitssystems wird. Die einzelnen Elemente sollen sich, ausgehend von den Prozessen und Abläufen bis hin zur unterstützenden IT-Technik, zu einem harmonischen Ganzen zusammenfügen, keinesfalls isoliert wirken.

funkschau: Auch dieser Nutzen muss durchdrungen werden – richtig?
Koch: Für ein erfolgreiches Projekt ist es erforderlich, das Maß an Sicherheit, Compliance und Datenschutz, das erreicht werden soll, genau zu kennen. Dort, wo gesetzliche Bestimmungen und Regelungen einzuhalten sind, bestimmen diese das Maß. Ansonsten gilt: Nur „top-down“ lassen sich Nutzen, Machbarkeit und Rentabilität der Kontroll- und Alarmierungslösung effizient ermitteln und quantifizieren. Oder anders gesagt: Aufwand und Kosten für Sicherheit, Compliance und Datenschutz sollen in einem für das Unternehmen vertretbaren Verhältnis zum Nutzen stehen, ohne dass dies zu Einschränkungen bei der Abdeckung von gesetzlichen Anforderungen führt. Genau das wird von uns im Projektvorfeld genauestens geprüft.

funkschau: Wie wichtig ist die Kompetenz einer Wirtschaftsprüfungsgesellschaft für die Herausbildung von mehr Sicherheit und Compliance?
Koch: Neben nationalen Regelungen wirken immer häufiger internationale Vorschriften, wie das EU-Recht, direkt die Gestaltung und Rahmenbedingungen interner Unternehmensrichtlinien und -vorgaben hinein. Daher empfiehlt sich gerade im immer komplexer werdenden Umfeld Sicherheit, Compliance und Datenschutz der Einsatz von Beratern an, die auf die Erfahrung und Kompetenz einer international tätigen Wirtschaftsprüfungsgesellschaft zurückgreifen können. Wird dieses gebündelte Wissen und Know-how in den Projekten genutzt, können Unternehmen eine kostspielige Überfrachtung ihres Kontroll- und Alarmierungssystems vermeiden.