Security by Design
Vorsicht ist besser als Nachsicht
Fortsetzung des Artikels von Teil 1
So sicher wie möglich oder nötig?
Für Unternehmen ist es empfehlenswert, Anforderungen an die Sicherheit grundlegend zentral zu fixieren und intern zu kommunizieren. Dafür bietet sich ein Information Security Management System (ISMS) an. Die Studie „Security by Design“ von Crisp hat ermittelt, dass bereits 24 Prozent der befragten Unternehmen ein ISMS als konkretes IT-Sicherheits-Vorgehensmodell nutzen. Da sich der Schutz-fokus mit Security by Design weg von einzelnen Endpunkten und hin zu ganzen vernetzten IT-Landschaften bewegt, sind darüber hinaus entsprechende Ressourcen notwendig, um die erforderlichen Maßnahmen abzuleisten. Das umfasst sowohl die Kosten als auch die personellen Ressourcen. Als grobe Orientierung gibt Crisp Research an, dass im Optimalfall das IT-Sicherheitsbudget circa zehn Prozent des IT-Budgets ausmachen sollte.
Trotz hoher Sicherheitsanforderungen an die IT-Landschaft muss diese weiterhin handlungsfähig und skalierbar bleiben. Deshalb wägen Unternehmen eher zwischen Sicherheit „so viel wie möglich“ und „so viel wie nötig“ ab. Unterstützung finden sie im Bedarfsfall bei Managed Services Providern, die einzelne Komponenten der IT-Landschaft oder diese komplett betreiben. Dabei sollten Unternehmen genau darauf achten, wie der jeweilige Provider Sicherheit umsetzt. Orientierung geben dabei Zertifikate wie etwa ISO 27001 oder im Cloud-Segment der C5-Anforderungskatalog des Bundesamtes für Sicherheit in der Informationstechnik.
Keine Ausreden mehr
Auch wenn Experten sich einig sind, dass eine hundertprozentige Sicherheit so gut wie unmöglich ist, darf dies nicht als Ausrede dienen. Die Sensibilisierung für sicherheitsrelevante Themen hat flächendeckend stark zugenommen. Unternehmen, die ihre Daten, ihre Produkte und damit ihre Kunden nicht schützen, setzen viel aufs Spiel – nicht zuletzt ihre Wettbewerbsfähigkeit und Existenz. Das zunehmende Interesse, ganzheitliche Schutzkonzepte grundlegend nach „Security by Design“ anzugehen, ist Ausdruck der stärkeren Sensibilisierung für IT-Sicherheit und die besonderen Anforderungen durch das IoT. Dabei gilt es, derzeitige Prozesse, Produkte und ganze IT-Landschaften auf den Prüfstand zu stellen. Dennoch müssen Unternehmen genau abwägen, welcher Schutzgrad für sie noch realisierbar ist. Um Sicherheit einfacher zu managen, ist der Einsatz bereits existierender Frameworks wie ein ISMS empfehlenswert.
Torsten Jensen ist Senior Security Consultant bei Nexinto
- Vorsicht ist besser als Nachsicht
- So sicher wie möglich oder nötig?
Lesen Sie mehr zum Thema
