Regelmäßige Kontrolle notwendig

Um seine ITK-Landschaft nachhaltig abzusichern, ist ein umfassendes, dynamisches IT-Sicherheitskonzept notwendig, dessen Grundsätze in einer unternehmensweiten Security Policy festgeschrieben sind. Darin spielen organisatorische, personelle und baulich-infrastrukturelle Fragen eine gleichwertige Rolle wie Hard- und Software. Zusätzlich zum gesetzlich vorgeschriebenen Datenschutzbeauftragten sollten Unternehmen einen regelmäßig zu schulenden IT-Sicherheitsbeauftragten benennen. Die Unternehmensleitung ist verpflichtet, auf eine kontinuierliche schriftliche Dokumentation des Sicherheitskonzepts und aller Maßnahmen zu achten. Denn im Falle einer Unternehmenskrise obliegt es dem Geschäftsführer, die Einhaltung seiner Sorgfaltspflichten nachzuweisen. Daneben sollte die Verantwortung für IT-Sicherheitsaufgaben eindeutig delegiert sein, beispielsweise an verschiedene Administratoren. Wie wichtig es ist, diese Personen sorgfältig auszuwählen und regelmäßig zu kontrollieren zeigt das aktuelle Beispiel aus San Francisco, wo ein städtischer Netzwerk-Administrator jüngst alle Router und Switche des gesamten Verwaltungsnetzes so manipulierte, dass der Zugriff nur noch über ein einziges Masterpasswort möglich war. Und dieses gab der zwischenzeitlich wegen Computersabotage inhaftierte Admin über ­eine Woche lang nicht preis. Doch auch technische Rahmenbedingungen wie ­Firewall, Viren- und Spamschutz gehören zu den Maßnahmen, die Geschäftsführer und CIOs nicht vergessen sollten. Das Nutzen moderner Technologien hilft vor allem Angriffe von außen zu vermeiden. Dienstleistungen von Dritten sind zuverlässig über Pönalen oder Service Level Agreements (SLA) vertraglich abzusichern. Damit sichern sich Unternehmen eindeutige Verfügbarkeiten und im Störfall garantierte Servicezeiten. Die Liste möglicher Risiko-Management-Maßnahmen lässt sich beliebig erweitern, doch letztlich ist vor allem ein Aspekt von Bedeutung: Die einmal ­getroffenen Sicherheitsmaßnahmen müssen sich fortwährend an veränderte Rahmenbedingungen anpassen. Diese dazu notwendige Steuerung und Kontrolle leistet jedoch nur ein intaktes, aussagekräftiges Risiko-Management-System, das flexibel auf neue An­forderungen reagiert.

Benjamin Stehr ist Informationssicherheits­beauftragter und IT-Security-Experte bei BCC, Ines Scheerenberg ist Mitarbeiterin der Abteilung Recht bei BCC.