IT-Sicherheitsmanagement: Warum Sie sich spätestens jetzt darum kümmern sollten und worauf es dabei ankommt!

Cyberbedrohungen sind allgegenwärtig – dies ist inzwischen weitestgehend bekannt. Gleichzeitig gibt es in vielen Unternehmen noch eklatante Lücken im Bereich der IT-Security Maßnahmen. Das IT-Sicherheitsmanagement hat das Ziel, diese Sicherheitslücken mit einem umfassenden Maßnahmenplan, der Ressourcen wie Mitarbeiter, finanzielle Mittel und IT-Sicherheitstools umfasst, zu schließen. Auf diese Weise wird eine Anhebung des IT-Sicherheitsniveaus innerhalb von Unternehmen und Organisationen erreicht.

Was genau ist IT-Sicherheitsmanagement? Definition und Ziele

Das IT-Sicherheitsmanagement hat das Ziel, Unternehmen umfassend und nachhaltig auf potenzielle Cyberbedrohungen vorzubereiten. Die IT-Sicherheitslage erfordert breit angelegte Maßnahmen. Unter dem Dachbegriff des IT-Sicherheitsmanagements sind eine Vielzahl an IT-Security Maßnahmen zusammengefasst. Diese gewährleisten in der Gesamtheit die digitale Sicherheit einer Organisation. Dieses Management ist ein fortlaufender Prozess, der sowohl Bereiche des Datenschutzes als auch die Abwehr von Cyberbedrohungen beinhaltet. In seiner Gesamtheit ist das IT-Sicherheitsmanagement ein komplexes System, dessen Maßnahmen um einen IT Security Plan herum aufgebaut sind.

Das grundlegende Ziel des IT-Sicherheitsmanagements ist es, die digitale Sicherheit im Unternehmen nachhaltig zu steigern. Dies ist ein langfristiger Prozess, an dem Schritt für Schritt mithilfe von einzelnen, ineinandergreifenden IT-Security Maßnahmen gearbeitet wird. Das IT-Sicherheitsmanagement selbst definiert noch keine konkreten Schritte. Vielmehr ist es die Bündelung von zur Verfügung stehenden und ausgewählten Methoden und Maßnahmen, so dass ein koordinierter Einsatz erreicht wird. Dies bedeutet auch, dass eine verantwortliche Position im Unternehmen vorhanden ist, die den zugrundeliegenden IT Security Plan erstellt. Über diese Position erfolgt auch die Kontrolle der IT-Sicherheit und der Schutzziele. Die konkreten IT-Security Maßnahmen im Rahmen des Sicherheitsmanagements setzen sich aus verschiedenen IT-Standards, Best Practices, Leitfäden sowie gesetzlichen Mindeststandards zusammen.

IT-Standards und gesetzliche Vorgaben für die Umsetzung der IT-Security Maßnahmen

Im Rahmen des IT Security Plans entsteht ein individueller Katalog an IT Security Maßnahmen, die auf die spezifische Infrastruktur der Organisation angepasst sind. Diese Maßnahmen stützen sich auf IT-Standards und den gesetzlichen Vorschriften. So ist zum einen gewährleistet, dass das Unternehmen die gesetzlichen Mindeststandards der IT-Sicherheit erfüllt. Zum anderen geben die IT-Standards den Verantwortlichen konkrete Optionen für die Gestaltung der IT-Sicherheit und der Schutzziele.

In diesem Zusammenhang spielt der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) für viele Organisationen eine wichtige Rolle. Die IT-Grundschutzvorgehensweise gibt IT Security Verantwortlichen eine klare Struktur vor, wie eine effektive und nachhaltige IT-Sicherheit aufgebaut wird. Hier gibt es beispielsweise den BSI-Standard 100-2. In diesen IT-Grundschutz-Katalogen sind Bedrohungssituationen, Eintrittswahrscheinlichkeiten und auch die möglichen Schadensauswirkungen definiert. Diese Grundschutzhandbücher dienen als Ersatz für aufwendige individuelle Sicherheitsanalysen. Sie informieren über die potenziellen Angriffsvektoren, mit denen Unternehmen rechnen müssen, und geben Anleitungen, wie die Unternehmen Gegenmaßnahmen implementieren.

Es gibt außerdem eine dreistufige Zertifizierung beim IT-Grundschutz des BSI, die durch Checklisten und in der letzten Stufe durch ein Auditing überprüft wird. So ist die Umsetzung des IT-Grundschutzes für Unternehmen mit relativ einfachen Mitteln und ohne eigens verankertes Expertenwissen über die IT Sicherheit und die Schutzziele möglich. Fachpersonal, das Sicherheitsanalysen durchführt und darauf basierend einen IT Security Plan entwirft, wird in diesem Fall nicht benötigt.

Ein weiterer zentraler Baustein beim Aufbau und der Definition von IT Sicherheit und den Schutzzielen ist die ISO 27001. Diese internationale Norm spezifiziert die Erstellung eines individuellen Informationssicherheits-Managementsystems. Anhand der ISO 27001 ist es möglich, Sicherheitsrichtlinien für die IT einzuführen. Der Fokus der ISO 27001 liegt auf dem Aufbau eines Managementsystems, bei dem alle IT Security-Maßnahmen sinnvoll ineinandergreifen und die Schutzziele der IT Sicherheit komplett abdeckt. Im Rahmen der ISO 27001 sind außerdem Vorgaben festgelegt, mit denen sich die Funktionsfähigkeit der einzelnen Sicherheitsmaßnahmen im IT Security Plan überprüfen lassen. Erst durch ein zentrales Managementsystem, das alle einzelnen Maßnahmen steuert und verwaltet, entsteht ein stimmiges Gesamtkonzept, bei dem alle Sicherheitsrisiken abgedeckt sind.

Die ISO 27001 schreibt weiterhin eine Dokumentation des IT Security Plans sowie der einzelnen Maßnahmen vor. Auf diese Weise entsteht ein transparentes und nachvollziehbares Vorgehen im Rahmen des IT-Sicherheitsmanagements. Dies ist vor allem langfristig wichtig. Kommt es zu Wechseln innerhalb des hierfür verantwortlichen IT-Personals, verhindert die klare Dokumentation, dass in einer solchen Situation die IT Security wieder am Nullpunkt beginnen muss.

Die zentralen IT-Sicherheits-Schutzziele in Unternehmen

Welche IT-Security Maßnahmen das Unternehmen konkret implementiert, ist von Organisation zu Organisation unterschiedlich. Deshalb beginnt die Umsetzung im IT-Sicherheitsmanagement mit einem IT Security Plan. In diesem Plan erfolgt zunächst eine Analyse der Ist-Situation. Diese umfasst die vorhandenen Systeme, eine Erfassung der aktuellen IT Security Maßnahmen sowie eine Erkennung der IT-Schwachstellen.

Basierend hierauf definiert die IT-Sicherheit Schutzziele und konkrete IT Security Maßnahmen. Der IT Security Plan, der einer der zentralen Mittel des IT-Sicherheitsmanagements ist, legt dann einen zeitlichen Ablauf für die Implementierung und Umsetzung fest. Hierbei geht es dann um konkrete Maßnahmen und langfristige Ziele. Diese müssen auch langfristig angelegt werden, wie beispielsweise die fortlaufende Schulung von Mitarbeitern.

Ein wichtiger Punkt, damit die IT-Sicherheit die definierten Schutzziele erreicht, ist die Bereitstellung von Ressourcen. Dies betrifft einerseits die finanziellen Mittel. Andererseits geht es jedoch auch um personelle Strukturen und das benötigte Know-how. Gerade der letzte Punkt ist nicht leicht umzusetzen. Besonders kleinere und mittlere Unternehmen stehen häufig vor Herausforderungen, was die Bereitstellung von ausreichenden Ressourcen für die IT-Sicherheit und die Schutzziele angeht.