Sie sind hier: Home » Markt » Hintergrund

IT-Sicherheit und Compliance in neun Schritten


Für jeden Geschäftsprozess sollte es einen Zuständigen geben, der für die Kontrolle und Einhaltung der Sicherheit und Compliance-Regeln verantwortlich ist
Sicherheit und Compliance muss als Prozess begriffen werden


(08.09.10) - Datenlecks, Datenklau, Hackerangriffe, Systemcrashs – je abhängiger Unternehmen und Behörden von IT-Prozessen sind, desto größer wird die Anfälligkeit der IT-Infrastruktur für Fehler und Missbrauch. Entsprechend häufen sich Regulierungsbemühungen von Gesetzgebern und Branchen, die Sicherheitsstandards vorgeben und die Einhaltung mit regelmäßigen Audits überprüfen.

Was zur Verbesserung von Systemstabilität und -sicherheit beitragen soll, stellt Unternehmen in der Umsetzung vor erhebliche Herausforderungen. Jennifer Bayuk vom Stevens Institute of Technology in New Jersey und Gene Kim, CTO und Mitgründer von Tripwire aus Portland, haben in einem Forschungsprojekt untersucht, wie Unternehmen in der Praxis mit den Themen Sicherheit und Compliance umgehen.

"Ein typischer Fehler vieler Unternehmen ist, Audits und Compliance als Projekt zu begreifen, statt als Prozess", sagt Kim.

"Organisationen, die diesem Ansatz folgen, geraten häufig in einen Kreislauf krisengesteuerter Problembeseitigung. Von den Vorbereitungen über das eigentliche Audit und die Auswertung der Ergebnisse bis zur Fehlerbehebung und Wiederholung des Audits werden hier vor allem Feuer gelöscht, statt systematisch Regeln und Prozesse für eine höhere Sicherheit zu implementieren. Das Ergebnis ist entsprechend eher eine hochpolitische Suche nach dem Schuldigen für den Misserfolg statt eine erfolgreich verbesserte Sicherheit der eigenen IT."

Kim empfiehlt Organisationen einen 9-Punkte-Plan, mit dem sie diesen Teufelskreis durchbrechen und sicherstellen können, dass Sicherheit und Compliance zum integralen Bestandteil der täglichen Arbeit werden.

1) Von Oben nach Unten:
Machen Sie dem IT-Vorstand klar, dass er die Verantwortung für die IT-Sicherheit und die Audit-Ergebnisse mit dem IT-Sicherheitsbeauftragten teilen muss.

2) Unternehmensziele und IT-Sicherheit als Eins begreifen:
Der Unternehmenserfolg und die IT-Sicherheit gehören zusammen. Definieren Sie die unternehmerischen Ziele Ihres Unternehmens und zeigen Sie, mit welchen Prozessen und Maßnahmen eine sichere IT dazu beiträgt, Risiken auszuschließen und diese Ziele zu erreichen.

3) Sicherheit messbar machen:
Legen Sie messbare Indikatoren fest, die eine optimal gesicherte IT-Infrastruktur beschreiben.

4) Den Informationsfluss von Anfang bis Ende verstehen:
Beschreiben Sie Ihre Unternehmensprozesse genau und vollständig, um alle relevanten Abläufe und Dokumentationen für ein Audit zu erfassen:
• Wo betreten, durchqueren und verlassen sensible Informationen das Unternehmen und wo werden sie gespeichert?
• Welche unternehmerischen und Sicherheitsrisiken birgt dieser Informationsfluss?
• An welchen Punkten nutzen Sie welche Technologien, um Fehlern vorzubeugen und Fehler aufzudecken?

5) Verantwortung für Kontrolle und Prozesse festlegen:
Benennen Sie für jeden wesentlichen Geschäftsprozess einen Zuständigen, der für die Kontrolle und Einhaltung der Sicherheit und Compliance-Regeln verantwortlich ist.

6) Erwartete Ergebnisse klar beschreiben:
Legen Sie fest, welche Indikatoren ein automatischer Sicherheits- und Compliance-Test testen soll und welche Ergebnisse Sie erwarten. So können die Prozessverantwortlichen die tatsächlichen Ergebnisse mit den Vorgaben abgleichen.

7) Regelmäßige Tests durchführen:
Testen Sie regelmäßig, ob die IT-Prozesse, -Programme und -Konfigurationen noch Ihren Sicherheits- und Compliance-Vorgaben entsprechen. So decken Sie Abweichungen und Fehler frühzeitig auf und stellen sicher, dass Sie für das nächste Audit bereit sind.

8) Mängelbeseitigung prüfen und dokumentieren:
Prüfen und dokumentieren Sie die Beseitigung von aufgedeckten Mängeln und Fehlern. So stellen Sie sicher, dass diese rechtzeitig vor dem nächsten Audit tatsächlich behoben sind.

9) Änderungen von IT-Hardware und IT-Prozessen integrieren:
Stellen Sie sicher, dass Sie bei wesentlichen Änderungen von IT-Prozessen und der IT-Infrastruktur ihre bestehenden Verantwortlichkeiten, Indikatoren und Kontrollen anpassen, um den erreichten Sicherheits- und Compliance-Status zu erhalten.
(Tripwire: ra)

Tripwire: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hintergrund

  • Wird KI den Finanzberater ersetzen?

    Die Zeiten, in denen Finanzdienstleister in Deutschland künstlicher Intelligenz nur zaghaft begegneten, sind vorbei. Banken, Vermögensverwalter und Asset Manager haben KI eindeutig als eine der strategisch wichtigsten Technologien für die Branche erkannt. Allerdings ist es für viele Akteure nach wie vor schwierig, diese effektiv umzusetzen.

  • Absichern entlang der Lieferkette

    Das Lieferkettensorgfaltspflichtengesetz (LkSG) sieht für die betroffenen Unternehmen vor, "menschenrechtliche und umweltbezogene Sorgfaltspflichten in angemessener Weise zu beachten" (§ 3 Abs. 1 Satz 1 LkSG). Vom Gesetzestext selbst könnten sich viele Unternehmen jedoch erst einmal unbeeindruckt fühlen.

  • Besonders besorgniserregende Stoffe

    Die ECHA hat zwei neue Chemikalien in die Liste der SVHCS (besonders besorgniserregende Stoffe) aufgenommen. Eine davon ist fortpflanzungsgefährdend, die andere hat sehr persistente und stark bioakkumulierbare gefährliche Eigenschaften.

  • KI für modernes Vertragsmanagement

    Laut des neuen "Digital Maturity Report" von DocuSign sind 78 Prozent der europäischen Führungskräfte von ihren aktuellen digitalen Prozessen frustriert. KI-gestützte Tools könnten Abhilfe schaffen und die Produktivität steigern. Anlässlich des "Artificial Intelligence Appreciation Day" stellte DocuSign fünf Trends vor, wie KI den Vertragsprozess revolutioniert:

  • Erhöhung der Cybersicherheit in Europa

    Das verarbeitende Gewerbe ist ein entscheidender Teil der europäischen Wirtschaft und umfasst viele Bereiche von der kleinen Produktion bis hin zu groß angelegten industriellen Prozessen. Mit zunehmender Digitalisierung und Vernetzung ist der Sektor mit immer größeren Cybersicherheitsrisiken konfrontiert, die schwerwiegende Folgen für die öffentliche Gesundheit und Sicherheit haben könnten.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen