Vom technischen Enabler zum Risikomanager

Die schnelle technologische Transformation hat dazu geführt, dass Unternehmensprozesse zunehmend von IT-Systemen und -Netzwerken abhängig sind. Damit wird der stabile, hochverfügbare IT-Betrieb zum geschäftskritischen Stellhebel. Hakt er, ist die Geschäftsfähigkeit des Unternehmens in Gefahr. Es gilt daher, mit dem technologischen auch einen unternehmensorganisatorischen Wandel zu vollziehen. Das rückt die Rolle des CIO in ein neues Licht. Technisch zu befähigen, reicht heute nicht mehr aus. Gefragt ist ein Risiko- und Krisenmanager, der sein Unternehmen souverän durch mögliche IT-Krisen manövriert. Das bringt erweiterte Anforderungen an die Skills und Aufgaben eines CIO mit sich.

Nach dem Prinzip „business first, security always“ muss er sich neu positionieren, Sicherheit organisationsweit planen und möglicherweise vorhandene Silos aufbrechen. Im Hinblick auf die gewachsene Rolle der IT ist er gefordert, sich mit verschiedenen Unternehmensbereichen agil auszutauschen und zusammenzuarbeiten. Sein Handeln muss sich noch stärker an den Unternehmensanforderungen ausrichten – IT-Security immer mitdenkend.

Verstärkte Sicherheitsbedrohungen aus allen Richtungen setzen einen weiteren wichtigen Punkt auf die Agenda des CIO: das proaktive Entwickeln und Implementieren professioneller Sicherheitsstrategien, die auch neuere potenzielle Risiken wie die zunehmende Automatisierung, IoT und DevOps berücksichtigen. Dabei können die Sicherheitsstrategien und -maßnahmen nicht auf eine komplette Abriegelung, ein Fort Knox, abzielen. Vielmehr kommt es darauf an, Security als organisatorisches Thema systematisch zu betrachten und in Risikomanagement-Strategien einzubinden. Was genau bedeutet das für die Praxis?

1. Risikomanagement-Strategien überdenken: Die vorhandenen Risiken und Bedrohungen sollten einschließlich der festgelegten Security-Maßnahmen regelmäßig auf den Prüfstand gestellt und neu bewertet werden. Denn Risiken verändern sich. Das muss sich auch in ihrer Dokumentation widerspiegeln.

2. Management-Frameworks in der Praxis nutzen: Security-Aspekte und -Maßnahmen sind häufig schon auf Basis von Management-Frameworks wie etwa der ISO 27001 umgesetzt. Das allein reicht jedoch nicht aus. Eine rein Checklisten-gepflegte Security kann für ein Unternehmen schnell zum Problem werden. Denn wird z.B. der Aspekt der Sicherheit im Unternehmen nicht gelebt, bleibt oft die kontinuierliche Kontrolle der Zielerreichung aus. Zudem fehlt es an Maßnahmen, die die Belegschaft abholen und für Gefahren sensibilisieren.

3. Sicherheitsansatz individuell designen: Viele Unternehmen scheitern schon daran, ein passgenaues Security-Konzept zu entwickeln und umzusetzen. Der ICT-Dienstleister Damovo unterstützt Firmen z.B. dabei, Bedrohungen und Risiken strukturiert zu betrachten und Whitespots zu identifizieren. Der Pflicht folgt die Kür: Erst mit dem Aufdecken von Blackspots erreichen Unternehmen ein noch höheres Maß an Sicherheit. Blackspots meint Bedrohungen und Risiken, die nicht durch standardisierte systematische Verfahren zu identifizieren sind. Um diese aufzuspüren, greifen professionelle Hackerteams das Unternehmen gezielt an. Die Erkenntnisse daraus fließen in ein individuell designtes Sicherheitskonzept.

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2021. Bestellen Sie ein kostenfreies Probe-Abo.

All diese Aufgaben sind komplex, ihre schnelle Bewältigung eine Herausforderung. Bedient sich der CIO an verfügbaren Technologien wie etwa Künstlicher Intelligenz (KI), kann er in Krisen kreativ, schnell und teilautomatisiert reagieren sowie die Abwehrmechanismen des Unternehmens zukunftsfähig aufstellen.

Bildquelle: i.Stock.com / SolStock