Sicherheit ist Chefsache

Schwachstellen in der IT können bedrohliche Schäden in Unternehmen verursachen. In der Folge haben viele die Gefahren zumindest wahrgenommen und neben der Einleitung einzelner technischer Maßnahmen auch personell aufgestockt: Datenschutzbeauftragte, IT-Sicherheitsbeauftragte und ähnliche Funktionen finden sich auf den Visitenkarten der Mitarbeiter – oder vereinzelt auf denen externer Dienstleister. Einige Unternehmen haben auch die wachsende Zahl der zu bewältigenden Aufgaben zum Schutz der IT auf einen kleinen Stab von IT Security Officer (ITSO) verteilt, die sich ihre Aufgaben entweder räumlich oder thematisch teilen, organisatorisch jedoch oft Teil der IT-Abteilung sind. Pro-blematisch ist dabei die Annahme, dass Sicherheitsprobleme ausschließlich (IT-)technischer Natur sind und auch mittels (IT-)Sicherheitstechnik zu behandeln sind.

Banken, Versicherungen und Unternehmen, deren Wert sich maßgeblich durch ihr digital gespeichertes Know-how berechnet, wählen seit Längerem einen „informationszentrischen“ Ansatz für ihre Sicherheit und benennen deshalb einen Chief Information Security Officer. Dieser kann sich natürlich um technische Maßnahmen zum Schutz der Assets kümmern, setzt jedoch häufig einen breiteren ­Rahmen bei der Betrachtung seiner Aufgaben. Klassische Ansätze des Sicherheitsmanagements mit Schutzbedarfsfeststellungen und Schwachstellenanalysen, Business-Impact-Analysen und Risikobewertungen stellen sein Handwerkszeug dar. Üblicherweise ist er in seiner Position in ein etabliertes Sicherheits-Management-Programm eingebunden und folgt mit seinen Projekten einem klar gegliederten Plan zur Minimierung des Gesamtrisikos. Allerdings bleiben auch bei diesem Ansatz oft die rein physischen und/oder organisatorischen Maßnahmen unberücksichtigt, weil Werkschutz und Organisation anderen Berichtslinien folgen.

Einige Unternehmen – etwa Vodafone Deutschland – haben die Zeichen der Zeit erkannt und Top-Manager in die Rolle des Chief Security Officers berufen. Hier vereinen sie die Führung der klassischen Corporate Security (Werkschutz) mit den der Informations- und IT-Sicherheit. Zwar führt diese neue mächtige Rolle nicht von selbst zu höherem Sicherheitsniveau, sie ermöglicht aber eine bessere Kommunikation zwischen den Organisationseinheiten und lässt diese besser koordiniert agieren. Die bisher bekannten Kompetenzgerangel lassen sich durch das gemeinsame Management partnerschaftlich lösen und jeder Bereich kann sich auf seine Stärken konzentrieren.

Aufgaben eines Chief Security Officer

•   Koordination und Kommunikation zwischen den Unternehmenseinheiten
•   Integration des Risikomanagements ins eigene Aufgabenfeld
•   Betrachtung der technischen ­Sicherheitserfordernisse
•   Einbeziehung der physischen ­Unternehmenssicherheit
•   Schutz der Unternehmensdaten

Quelle: Accessec GmbH

Bildquelle: iStockphoto.com/adventtr