Basel II zwingt Banken zum Handeln

Die Fiducia IT hat ein ganzheitliches Risiko­mana­gementsystem implementiert. »Für uns bedeuten ­Basel II und das von der deutschen Bankenaufsicht BaFin vorgegebene Risikomanagement-Raster ­MaRisk vor allem, dass wir quantitative Risiko­messungen durchführen müssen, auch und gerade im Bereich Informationssicherheit, erklärt IT-Manager Lutz Bleyer. »Dies muss laufend geschehen. Die gemessenen Veränderungen dienen uns als Grundlage für Anpassungen unserer Risikopolitik und unserer betrieblichen Sicherheitsmechanismen.« Solche Messungen gelingen heutzutage mit Hilfe von Tools, die Schwachstellen erkennen können. Einbruchssensoren sowie Systeme für Einbruchsprävention etwa haben sich einen festen Platz in der IT-Sicherheits-Infrastruktur zumindest großer Unternehmen erobert. Manche Organisationen holen sich auch Penetrationstester ins Haus, die aus dem Blickwinkel eines Eindringlings echte Angriffe auf das Unternehmen starten und somit auf Verwundbarkeiten aufmerksam machen. Der Sicherheitsdienstleister Qualys macht es seinen Anwendern noch einfacher: Mit dem Programmpaket QualysGuard lässt sich über einen gängigen Webbrowser regelmäßig alles abprüfen, was eine IP-Adresse besitzt. Und das sind mehr Geräte, als so mancher Anwender annimmt. Es gibt im Netzwerk oft eine »Schatten-IT«, also viele Komponenten, wie Drucker, Scanner, Router oder Switches, die nie oder selten in eine Sicherheitsanalyse einbezogen werden, meint man bei Qualys. Viele Anwender konzentrierten sich auf die Clients oder Server, vernachlässigten aber die übrigen Komponenten. QualysGuard gewichtet vorhandene Schwachstellen nach dem Risiko für das Geschäft. Dazu können Vorgaben von Initiativen wie dem »Common Vulnerabi­lity Scoring System« (CVSS) genutzt werden, die globale Standards für die Bewertung der Risiken von Schwachstellen festlegen. »Diese Standards stellen ­einen Meilenstein dar«, urteilt Sicherheitsexperte Olaf Lindner von Symantec, haben sich doch hierbei erstmals alle namhaften Sicherheitsanbieter zu einer einheitlichen Risiko-Bewertung von Verwundbarkeiten durchringen können.