Zertifizierungen immer wichtiger

Um effizient arbeiten und Daten über Cloud-Lösungen speichern, synchronisieren und mit Kollegen und Mandanten teilen zu können, empfahl der Deutsche Anwaltverein (DAV) den bei ihm organisierten Anwälten eine entsprechende Anwendung eines mittelständischen Anbieters. Weil Anwälte laut Gesetz als Geheimnisträger besonderen Verpflichtungen unterliegen, gehören End-zu-End-Verschlüsselung, mehrfache Redundanz sowie Hosting in deutschen Hochsicherheitsrechenzentren und nach deutschen Datenschutzgesetzen, lückenlos durch verschiedene Zertifikate testiert, zu den geforderten Sicherheitsstandards einer solchen Lösung.

Standen früher vorrangig Kostenargumente im Zentrum von Outsourcing-Projekten, gewinnen heute andere Faktoren an Gewicht. Zentrale Punkte sind beispielsweise Sicherheit und Datenschutz. Die Öffentlichkeit – und somit auch Mitarbeiter, Kunden und Partner von Mittelständlern – zeigt sich in puncto Datenschutz zunehmend sensibilisiert. NSA-Skandale, belegte für Industriespionage – niemand möchte in diesen Zeiten seine persönlichen oder produktbezogenen Daten ungeschützt wissen.

Und auch wenn es in der IT keine endgültige Sicherheit gibt: Kunden und Partner sehen einen Unterschied darin, ob sich ein Unternehmen bei IT- und Datensicherheit Mühe gibt oder nicht.

Wenige Mittelständler verfügen über die Ressourcen und Kompetenzen, um ihre IT-Infrastruktur permanent und lückenlos den IT-Sicherheitsanforderungen anzupassen und dies nachzuweisen. Die entsprechenden Nachweise über Zertifizierungsprozesse zu erlangen, ist zeitraubend, schwer zu durchschauen und teuer.

Für eine Erstzertifizierung nach ISO 27001 müssen je nach Größe des Unternehmens bzw. Reifegrad des Informationssicherheitsmanagements zwischen 10.000 und 100.000 Euro an internen und externen Kosten veranschlagt werden. So gewinnt das IT-Outsourcing an Attraktivität, weil viele IT-Dienstleister auf diese Anforderungen reagieren. Sie implementieren IT-Infrastruktur und Prozesse so, dass die Kunden unter die von ihnen erlangten Testate und Zertifizierungen „schlüpfen“.

Kein Automatismus

Von selbst passiert das aber nicht. Mittelständler müssen entsprechend ihren Anforderungen den IT-Partner auswählen. Ein Muss im Auswahlprozess ist der Besuch der Dienstleister und ihrer Rechenzentren, ein Blick auf die Sicherheitsinfrastruktur und die gelebte Sicherheitskultur.

Qualitätsorientierte IT-Dienstleister schützen ihre Infrastruktur über hochspezialisierte Systeme und durch den Aufbau von IT-gestützten Sicherheitsringen (Perimeter) um ihre Rechenzentren. Dies beginnt bei der Identifikation von Botnet- und DDoS-Attacken im Internet, geht über das Echtzeit-Monitoring von Systemen und Datenverkehr im Rechenzentrum bis hin zum physikalischen Zutrittsschutz und redundanten Infrastrukturen.

Noch immer glauben Mittelständler, dass ein IT-Outsourcing nur bei einer Standard-IT greift. Also kundenspezifische Infrastrukturen, Prozesse und Anwendungen nicht ausgelagert werden können. Aber auch hier hat sich der Markt gewandelt. Der Wettbewerbsdruck zwingt IT-Dienstleister dazu, kundenindividuelle Anforderungen zu erfüllen. Gerade weil Rechenzentrumsbetreiber in Technik und Service vieles über die Kombination und Konfiguration von Standardmodulen und Virtualisierung abdecken können, bleibt für die Erfüllung individueller Anforderungen mehr Raum.

Zudem hat sich der IT-Outsourcing-Markt diversifiziert. Heute fühlen sich Mittelständler nicht mehr als kleiner Fisch im großen Teich, sondern finden Ansprechpartner auf Augenhöhe, die sich auf die Anforderungen des Mittelstandes spezialisiert haben. Die IT-Verantwortlichen finden Partner für vertraglich oder technisch ungewöhnliche Wünsche und müssen keine Leistungen von der Stange kaufen.

So können beispielsweise Anwendungen und Datenbanken, je nach Wichtigkeit für das Unternehmen gestaffelt, mit ganz unterschiedlichen Back-up-Strategien gesichert werden – bis hin zur Spiegelung der Systeme. Ein Kundenunternehmen teilt Entwicklungen und Anpassungen an IT-Anwendungen auf eigene Teams und externe IT-Entwickler auf (z.B. bei E-Shops). Längst leisten IT-Dienstleister Unterstützung für solche Geschäftsmodelle, können über DevOps sogar agile Entwicklungsmethoden und Continuous Delivery im Betrieb abbilden.

IT-Outsourcing bietet mehr Vorteile als das kostensparende Hosting von Standardanwendungen. Mittelständler sollten ihre Anforderungen definieren und dabei selbstbewusst hohe Anforderungen bei der IT-Sicherheit, beim Datenschutz nach bundesdeutscher Gesetzgebung, bei umfassenden Zertifizierungen oder zu individuellen Lösungen und Prozessen formulieren.

Zertifikate des Dienstleisters nutzen
Folgende Zertifikate helfen bei der Auswahl eines Dienstleister und eigenen sich zur Dokumentation der eigenen Sorgfalt gegenüber Kunden und Partner.

• ISO 20000-1 – Norm zum IT-Service-Management; Zertifikaterneuerung alle drei Jahre
• ISO 27001:2013 – Norm zum Informationssicherheitsmanagement. Jährliche Überwachung und Rezertifizierung alle drei Jahre.
• ISO-27001-Zertifikat auf der Basis von IT-Grundschutz – Die Zertifizierung nach den Vorgaben des BSI ist deutlich detaillierter hinsichtlich der technischen Umsetzung.
• Eco Datacenter Star Audit – Prüfung der Infrastruktur und Leistungen von Rechenzentren in den Kategorien Gebäude, Technik, Prozesse und Personal

Quelle: Noris Network AG