Es sind nicht nur das meist unzureichend ausgeprägte IT-Service-Management und die verbindungsorientierten SLAs, die Sand ins IT- und damit ins Prozessgetriebe streuen können. Mit jedem Schritt weiter in die Geschäftsprozessoptimierung erweist sich für die Unternehmen auch die IT-Sicherheit als kritischer Prozess- und Business-Faktor. »Durchgehende Geschäftsabläufe können umgekehrt ebenso durchgehend attackiert werden«, rüttelt Lars Weimer, bei Ernst & Young verantwortlich für Informationssicherheit im Bankenbereich, auf.

Dadurch gerieten alle am Geschäftsprozess beteiligten IT-Ressourcen in Gefahr. Das gelte für beide grundsätzlichen Angriffsformen: »die Infiltration von Schadcode ebenso wie für unberechtigte Zugriffe.« Die potenziellen Folgen seien, einmal abgesehen vom Diebstahl oder von der Manipulation geschäftswichtiger Informationen, gleich wie ohne professionelles IT-Service-Management: »eingeschränkte Geschäftsprozesse bis hin zu ihrem Ausfall.« Er fordert die Unternehmen zu einer gründlichen Bedrohungs- und Risikoanalyse auf. Darin müssten auch die Sprach- und Videoströme sowie ihre Schnittstellen einbezogen werden. »Erst danach können die Entscheider die organisatorischen und technischen Sicherheitsvorkehrungen angemessen und investitionssicher einplanen und umsetzen«, so Weimer.

Andreas Essing, Experte im Bereich Systems Integration für Kollaborationslösungen bei Siemens IT Solutions and Services, skizziert das Anforderungsprofil, mit dem sich die Unternehmen konfrontiert sehen. »Sie sollten ihr IT-Sicherheits-Management gleich dem IT-Service-Management so weit wie möglich zentralisieren. Nur auf diese Weise ist Sicherheit konform den strategischen Geschäftszielen des Unternehmens organisier-, führ- und steuerbar.«

Die Konvergenz mit ihren zusätzlichen Kommunikationsformen und -funktionen verstärke den Druck, zentralisieren zu müssen. Die Zusammenführung sicherheitsrelevanter Ereignisse und Aufgaben in zentralen Überwachungs- und Leitständen sei zudem für die Unternehmen ein probates Mittel, um innerhalb ihres Sicherheitsetats zu bleiben. Der Status quo: Viele, nicht integrierte Sicherheitssysteme mit separatem Management treiben in den Unternehmen die Kosten in die Höhe. Essing fordert deshalb die Entscheider auf, parallel zur Zentralisierung den im Lauf der Zeit entstandenen IT-Sicherheitswildwuchs zu bereinigen. Außerdem macht er darauf aufmerksam: »Beide Managementsysteme fokussieren das gleiche Ziel, das ideal zur Geschäftsprozessoptimierung passt: Sie sichern Ende-zu-Ende ab, vom Nutzer bis zu den adressierten Applikationen und Daten.«

Sicherheit von innen heraus

Erwin Schöndlinger, Geschäftsführer von Evidian in Deutschland, hat klare Vorstellungen, wie das am besten funktioniert. »Die Unternehmen sollten ihr IT-Sicherheits-Management nicht wie in der Vergangenheit von außen nach innen, sondern genau umgekehrt aufziehen.« Nur so sei der gesamte Schutzschirm zentralisierbar sowie kostenvertretbar überwach-, steuer- und administrierbar. Und nur so könne IT-Sicherheit aus Sicht der Unternehmensführer strategisch eingesetzt, gelenkt und bei Bedarf angepasst werden.

Er sieht für den anstehenden Strategie- und Technologiewechsel Identity-and-Access-Management (IAM) in der zentralen Rolle. Es bietet mit den Modulen Benutzer-, Access- und Rollen-Management alle Funktionalitäten, um die Applikationen und Daten hermetisch vor unberechtigten Zugriffen abzuschirmen.« Dazu kämen Authentisierungsverfahren verschiedener Stärken und integriertes Auditing/Reporting. Schöndlinger: »Letzteres wird von den Unternehmen dringend für Compliance, also die nachweisliche Einhaltung interner Auflagen und externer rechtlicher Vorschriften, gebraucht.« Über Auditing/Reporting können sämtliche Zugriffe und Zugriffsversuche mitgeschnitten, anschließend ausgewertet und dadurch dokumentiert werden.

Für die Sicherheitswerkzeuge an vorderster Internet-Außenfront registriert der Geschäftsführer einen klaren Trend. »Sie müssen sich zumindest ins zentrale Benutzer-Management der IAM-Lösung integrieren, um die Überwachung und Administration des gesamten Schutzschirms zu vereinfachen.« Er spricht damit Werkzeuge wie Firewalls, VPN-Gateways, Authentisierungs-Server, Intrusion-Detection-Systeme, Viren-, Content- und Spam-Scanner an. Unified-Threat-Management-Systeme (UTM), die viele dieser Funktionalitäten auf einer Hardware-Plattform vereinten, arbeiten nach Schöndlinger der Zentralisierung durch Integration zu.

Hadi Stiel ist freier Journalist
in Bad Camberg