Die Sicherheit im Ganzen

Viele Unternehmen beschäftigen sich seit Jahren intensiv mit dem Thema Sicherheit, sowohl im Bereich Informationssicherheit als auch in anderen Bereichen wie der physischen Sicherheit. In vielen Fällen ist der Blick jedoch auf eine Organisationseinheit oder Abteilung beschränkt oder es werden einzelne Themen isoliert betrachtet (Stichwort „Silos“). Sowohl der Zusammenhang mit anderen Prozessen als auch die Sicht auf das Gesamtunternehmen kommen dabei oft zu kurz. Auch ein Überblick über den Status der Sicherheit im Ganzen ist meist schwierig.

Die Unternehmenssicherheit in der DZ Bank behandelt die Kernfelder personelle, physische und Informationssicherheit sowie Notfall- und Krisenmanagement. Zudem gibt es zentrale Services wie eine zentrale Sicherheitsvorfallbehandlung und das Berechtigungsmanagement. Vor einiger Zeit suchte der Finanzspezialist nach einer flexiblen Softwarelösung zur Unterstützung der Prozesse in der Unternehmenssicherheit. Verschiedene Faktoren wurden bei der Auswahl berücksichtigt, darunter die Flexibilität. Die ist besonders wichtig, da jedes Softwaretool für einen bestimmten Anwendungsfall entwickelt wird. Weil kein Prozess in jedem Unternehmen gleich aussieht, ist es entscheidend, dass ein Tool flexibel mit den jeweiligen Rahmenbedingungen wie Prozessen, Rollen und Datenquellen umgehen kann. Gefordert wurde auch eine umfasssend konfigurierbare Reporting-Engine, denn die gesammelten Daten in der Datenbank müssen auf jeweils passende Art und Weise ausgewertet werden können. Dabei legten die Verantwortlichen ­besonders hohen Wert auf ein umfassendes Berechtigungs­konzept.

Nach einem sorgfältigen Auswahlprozess entschied sich die DZ Bank für die Lösung RSA Archer eGRC Solutions und setzte in der ersten Projektphase zunächst die Themen Notfall-, Krisen-, Sicherheitsrisikomanagement sowie physische Sicherheit um. In einer weiteren Projektphase wird 2013 die bestehende Lösung um weitere Kernfelder und zentrale Services erweitert.

In den einzelnen Kernfeldern erfolgt die technische Unterstützung der Prozesse sehr individuell. Im Bereich Notfallmanagement werden beispielsweise die Business-Impact-Analysen und Geschäftsfortführungspläne direkt mit RSA Archer erstellt und gepflegt. Darüber hinaus wurde für die Notfallkoordinatoren in den einzelnen Geschäftsbereichen ein Cockpit erstellt, um die Arbeit mit dem Tool so einfach wie möglich zu gestalten. Für die physische Sicherheit wird die Klassifikation einzelner Gebäude und Sicherheitszonen mit der Sicherheitslösung führend verwaltet und durch Audits die Einhaltung der zentralen Vorgaben überwacht.

Insbesondere bei den zentralen Services kommt der Vorteil des integrierten Ansatzes der Prozesse und der zentralen Datenhaltung voll zur Geltung. In den einzelnen Themenfeldern werden Risiken erfasst, bewertet und daraus Maßnahmen zur Reduktion dieser Risiken definiert. Das übergreifende Sicherheitsrisikomanagement kann auf die dezentral erfassten Informationen zugreifen, um die Aufgabe der zentralen Koordination der Unternehmenssicherheit der Bank wahrnehmen zu können. Für die Behandlung von Sicherheitsvorfällen definierte man für alle Themenfelder einen Prozess, egal ob es sich dabei um einen Einbruch in einen Standort oder einen Hacking-Angriff handelt. Dadurch ergeben sich Synergien innerhalb des gesamten Managementsystems.

Immer wenn mehrere Prozesse, Abteilungen oder Personen eine Software nutzen, ist es wichtig, dass dieselbe Sprache gesprochen wird. Dies betrifft beispielsweise Begrifflichkeiten („Was verstehen wir genau unter einem Risiko?“) oder Bewertungsschemata (z.B. Schadens- und Wahrscheinlichkeitsklassen für ein Risiko).

Integration stärkt die Akzeptanz

Wenn diese Voraussetzungen nicht im Vorfeld geschaffen wurden, können weder bestehende Prozesse harmonisiert noch kann ein Softwarewerkzeug sinnvoll eingesetzt werden. Viele Projekte scheitern nicht, weil die fachlichen Ergebnisse nicht ausreichend waren, sondern weil wichtige Rahmenbedingungen über das Inhaltliche hinaus nicht berücksichtigt wurden. Die Unterstützung des Managements und das frühzeitige Einbinden aller Interessengruppen sind gerade bei Projekten, die tief in das tägliche Arbeiten von Mitarbeitern eingreifen, entscheidend für den Erfolg. Von daher hat die DZ Bank gemeinsam mit der Secaron AG als Implementierungspartner die neue Sicherheitssoftware eingeführt. Die Lösung dient als Basis für neue Prozesse in der Unternehmenssicherheit.

Verbessert wurden etwa die Steuerungsmöglichkeiten, indem Bewertungsschemata harmonisiert und Ergebnisse über die Grenzen der Themenfelder hinweg vergleichbar wurden. Überdies konnten Prozesse zusammengeführt und automatisiert werden. Der Aufwand ließ sich dadurch sowohl bei der Unternehmenssicherheit als auch in den Fachbereichen spürbar reduzieren. Zu guter Letzt stärkten die integrierten Prozesse die Akzeptanz der Unternehmenssicherheit innerhalb der Bank.

Über die DZ Bank
Die DZ Bank AG, Deutsche Zentral-Genossenschaftsbank, gehört den mehr als 900 Volks- und Raiffeisenbanken in Deutschland, die ihr angeschlossen sind. Auftrag der Bank ist es u.a., die Geschäfte der eigenständigen Genossenschaftsbanken vor Ort zu unterstützen. Das Leistungsspektrum reicht von klassischen Produkten über Strukturierung und Emissionen bis hin zu Handel und Vertrieb im Aktien- und Rentenmarkt. Zusätzlich betreut man als Geschäftsbank Unternehmen und Institutionen, die einen überregionalen Bankpartner benötigen.
Im Internet: www.dzbank.de

Bildquelle: DZ Bank