Lassen Sie uns an dieser Stelle etwas tun, was wir hier bisher noch nicht getan haben, ein kleines Quiz für unsere Leserinnen und Leser. Was bedeutet dieses Wort, das ich kürzlich in einem Termin bei einem Kunden im Zusammenhang mit dem Aufbau eines Informationsmanagement-Systems (ISMS) gelernt habe: Dokumentenbefriedigung. Klingt irgendwie schlüpfrig, meinen Sie? Nun ja, Sie sollten das Wort nicht laut in Gegenwart einer Gruppe frühpubertärer 12jähriger aussprechen. Deren Assoziationen sind hier jedenfalls nicht ohne Verstoß gegen gutes Benehmen in Firmenblogs zitierfähig. Aber die Assoziationen weisen die Richtung.

Dokumente

Es geht also um Dokumente und es geht um Befriedigung. Doch - welche Dokumente und wessen Befriedigung? Kann man Juristen mit Dokumenten befriedigen ...ähm ... glücklich machen? Das jedenfalls schienen meine Gesprächspartner anzunehmen, die das Geständnis, dass sie bestimmte Forderungen ihrer Auftraggeber intern mit der Bezeichnung Dokumentenbefriedigung belegt haben, mit einem leicht verlegenen „wir sind ja hier unter uns“ einleiteten. Kein Grund sich zu entschuldigen! Wir bekennen an dieser Stelle, wir sind fähig, aus einem ordentlich geregelten Vertrag, aus einem sorgsam formulierten Dokument ein Gefühl großer Zufriedenheit zu ziehen. So einfach ist denn auch die Auflösung unseres kleinen Quiz: Dokumentenbefriedigung, Substantiv, feminin, Zustand der eintritt, wenn die technischen und organisatorischen Sicherheitsmaßnahmen eines Unternehmens umfassend dokumentiert sind.

Auftragskontrolle

Aber halt, die Sache hat einen Haken. Die Auftraggeber unserer Kunden gingen die Sache ziemlich unsystematisch und inkonsequent an. Sie forderten die Vorlage umfangreicher Dokumente zur IT-Sicherheit, wollten dann manche Sachverhalte doch nicht so gründlich beschrieben und geregelt wissen und ließen sich auch nicht von der Tatsache irritieren, dass unsere Kunden die Dokumente nicht oder vorerst nur in Teilen vorlegen konnten. Hauptsache Dokumente, lautete die Ansage. Die – vertraglich vereinbarte – Kontrolle der Umsetzung in der Realität werde ohnehin nicht kontrolliert. Das alles vor dem Hintergrund der Tatsache, dass unserem Kunden von diesem Auftraggeber höchst vertrauliche Daten überlassen werden sollten.
Also eher ein Dokumenten-Coitus-Interruptus. Um uns Regelungsjunkies zufrieden zu stellen, braucht es aber deutlich mehr als nur die Beschreibung von Dingen, die im Zweifel nicht eingehalten und nicht kontrolliert werden. (Von der Informationssicherheit im Unternehmen mal ganz abgesehen).

Informationssicherheit aufbauen

Steht man mit dem Aufbau eines Informationssicherheits-Managementsystems in einem Unternehmen ganz am Anfang müssen das Schreiben von Dokumenten und die Umsetzung der Inhalte Hand in Hand gehen. Manchmal, so wie im Fall unseres Kunden, kann man auf Strukturen aufbauen, die in der Praxis recht gut und verantwortungsbewusst umgesetzt werden, aber nicht dokumentiert sind. Dann gilt es, die bestehenden Prozesse auf Wirksamkeit und Sicherheit zu überprüfen, gegebenenfalls nachzusteuern – und anschließend mit der Dokumentation einen Ist-Zustand zu erfassen, der gleichzeitig den Soll-Zustand beschreibt. Mitunter findet man aber auch Abläufe vor, die in der täglichen Praxis ein Sicherheitsrisiko darstellen und die auch nicht schriftlich geregelt sind. In diesem Fall muss zunächst ein Soll-Zustand definiert werden, der sinnvollerweise gleich schriftlich dokumentiert wird. Die Umsetzung erfolgt im nächsten Schritt unter Verweis auf die festgelegten Sicherheitsziele.

Der Ablauf ist also ein wenig wie die Frage: brauche ich zuerst die Henne, damit ich dann ein Ei bekomme oder brauche ich erst ein Ei, damit ich eine Henne bekomme. Ob man zuerst die Henne nimmt oder das Ei, hängt wie oben beschrieben von der individuellen Konstellation im Unternehmen ab.

Ein erstrebenswerter Zustand

So interpretiert, ist der Zustand der Dokumentenbefriedigung ein durchaus erstrebenswerter. Heißt er doch, dass Papierlage und Realität, Dokumente und gelebte Prozesse zusammen passen, in den täglichen Abläufen ineinander greifen und Sicherheitsrisiken minimieren. Nichts anderes ist in Bezug auf Informationssicherheit im Unternehmen das Ziel. Ist dieses Ziel erreicht und gelingt es, am Leben erhalten zu werden, nehmen wir den Spott darüber, dass wir aus solchen Zuständen eine gewisse nun ja ... Befriedigung ableiten, dann gerne in Kauf.

Auf den Seiten von „Security Insider“ erschien August 2014 ein lesenswerter Artikel, der sich mit den Schwächen von IT-Sicherheit im Mittelstand befasst („Datendiebstahl im Mittelstand“) und dessen Inhalt nach wie vor höchst aktuell ist.

Die Erfahrungen und Erkenntnisse, die wir aus zahlreichen Vortragsveranstaltungen zum IT-Sicherheitsgesetz in den letzten Wochen mitgebracht haben, bestätigen das Bild, dass der Autor schon vor über einem Jahr zeichnete: Es ist nach wie vor schlecht bestellt um das Bewusstsein für die Wichtigkeit von Informationssicherheit und die Umsetzung von Schutzmaßnahmen. Das gilt insbesondere für die Führungskräfte im Unternehmen.

"Es gibt ja jetzt das IT-Sicherheitsgesetz ..."

Exemplarisch ist die Antwort eines Teilnehmers auf meine Frage an mein Publikum warum man sich denn mit IT-Sicherheit befassen müsse? „Weil es ja jetzt das IT-Sicherheitsgesetz gibt“. Nein! Erstens gibt es das Bundesdatenschutzgesetz mit der Vorgabe, personenbezogene Daten technisch gegen Missbrauch zu sichern, schon seit mehr als 30 Jahren. Zweitens, vergessen Sie die Gesetze. Die Absicherung Ihrer unternehmenseigenen IT-Infrastruktur ist die Grundlage für Ihren wirtschaftlichen Erfolg – nicht mehr und nicht weniger. Doch noch immer begegnet uns im Zusammenhang mit der Diskussion um die technischen Aspekte des Datenschutzes und der IT-Sicherheit die Frage: Wen sollten denn unsere Daten interessieren? Vor ein paar Jahren konnte man vielleicht noch abwägen und überlegen, für welche mutmaßlichen Angreifer eigentlich welche Daten interessant sein könnten. Das ist lange vorbei. Im Zeitalter von „Big Data“ und unendlichen, sekundenschnellen Verknüpfungsmöglichkeiten von Daten aus verschiedenen Quellen zum Zweck der Gewinnung von geldwerten Erkenntnissen, sind im Zweifel alle Daten interessant. Interessant im Sinne einer wirtschaftlichen Verwertbarkeit.

Wo befinden sich die Kronjuwelen?

Daher gehen wir in unseren Audits zur IT-Sicherheit und beim Aufbau eines Informationssicherheitsmanagements praktisch so vor, wie der Autor des Artikels es beschreibt. Im Vordergrund stehen immer die Fragen:

- welche Daten werden verarbeitet
- wo befinden sich die Daten und
- wer hat Zugriff auf die Daten.

Dabei geht es um die Informationen des Unternehmens, die für den Erfolg und den Fortbestand des Unternehmens überlebenswichtig sind. Die Antworten auf diese Fragen sind nicht so trivial, wie es klingt. Oftmals ist gar nicht bekannt, wo sich wichtige Daten befinden und die fast grenzenlose Mobilität von Daten fügt der Unübersichtlichkeit ein weiteres Risiko hinzu.

Klassifizierung

Nützlich ist eine Klassifizierung der Daten nach ihrem Schutzbedarf, die später hilft, angemessene Schutzmaßnahmen zu definieren. Zugrunde gelegt werden dabei die klassischen Schutzziele der IT-Sicherheit: Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit der Informationen.

Ebenfalls hat es sich als eine gute Vorgehensweise erwiesen, Richtlinien und Arbeitsanweisungen zum Datenschutz und zum Umgang mit Informationen zu verfassen und diese im Unternehmen zu etablieren. Damit setzt ein Unternehmen einen „Soll-Standard“, an dem dann alle späteren Maßnahmen gemessen werden.
Im nächsten Schritt erfolgt die Analyse, ob die auf diese Weise identifizierten und bewerteten Daten technisch, aber auch organisatorisch, ausreichend abgesichert sind (die rechtliche Zulässigkeit ihrer Verarbeitung einmal vorausgesetzt). Ein Penetrationstest kann darüber ersten Aufschluss geben, aber auch die nähere Betrachtung der Firewall, der eingesetzten Anti-Virus-Maßnahmen und der Datensicherung sind Ansatzpunkte.

Nicht zu viel auf einmal wollen

Gerade wenn es in einem Unternehmen noch wenig bis keine Vorarbeiten in Sachen Datenschutz und Informationssicherheit gibt, muss man sich in kleinen Schritten voran arbeiten. Dazu bietet es sich an, an einer Stelle anzufangen und die dort gewonnenen Erkenntnisse dann Stück für Stück auf weitere Felder zu übertragen.

Der menschliche Faktor

Viele Aspekte der IT-Sicherheit sind von der Zuverlässigkeit derer abhängig, die die Maschinen bedienen. Die regelmäßige Schulung zu Fragen von Datenschutz und Informationssicherheit ist daher für alle Mitarbeiter mit Zugriff auf unternehmenskritische Daten zwingend notwendig – einschließlich der Führungskräfte und Geschäftsführung. Für letztere sollte es im Übrigen kein Sonderrecht im Umgang mit Unternehmensdaten und bezüglich der Einhaltung von Sicherheitsmaßnahmen geben, wie es leider immer noch allzu oft geschieht: ist die Nutzung von privaten von mobilen Geräten im Unternehmen aus Sicherheitsgründen verboten, gilt dies auch für Mitarbeiter in leitenden Positionen und Geschäftsführer.

Individuelle Beratung

Benötigen Sie Unterstützung beim Aufbau eines Informationssicherheitsmanagements in Ihrem Unternehmen? Sprechen Sie uns gerne an, wir entwickeln mit Ihnen ein individuelles Vorgehen.

Wir sind mit neuem Schwung aus der Sommerpause zurück und haben eine Reihe von Terminen mit Vorträgen zum neuen IT-Sicherheitsgesetz für Sie.

Die Nachfrage nach Informationen zu den Anforderungen des neuen IT-Sicherheitsgesetzes ist riesig. Wer unsere erste Übersicht in dem Webcast von Sophos verpasst hat, kann hier noch mal nachhören. Außerdem stehen schon eine ganze Reihe Termine mit Vorträgen zum Thema IT-Sicherheitsgesetz von Anna Cardillo fest (Beginn ab September). Eine Auswahl finden Sie nachfolgend:

Wirtschaftsschutzfachtagung am 01. Oktober 2015 in Laatzen bei Hannover. Veranstaltet vom Niedersächsischen Verfassungsschutz in Kooperation mit dem Niedersächsischen Ministerium für Wirtschaft, Arbeit und Verkehr. Nähere Informationen sind unter diesem Link erhältlich.

Vom 06. bis 08. Oktober sind wir in Nürnberg auf der it-sa Messe vertreten und im November auf der PROsecurITy EXPO in Fürstenfeldbruck. Der Name der Messe lässt bereits auf den Inhalt schließen - die PROsecurITy ist eine neu entstehende IT-Sicherheitsmesse, die mit einem Kongress über IT-Sicherheit verbunden wird und erstmalig am 10. und 11. November stattfindet. In diesem ersten Jahr werden bereits etwa 40 Aussteller und 1.000 Fachbesucher erwartet. Auch hier steuern wir einen Vortrag zum neuen IT-Sicherheitsgesetz bei.

Weitere Veranstaltungen mit Anna Cardillo als Vortragsrednerin sind in Planung. Die genauen Termine geben wir rechtzeitig hier und bei Xing bekannt.

Darüberhinaus sind verschiedene Webcasts zum Thema IT-Sicherheitsgesetz mit Dr. Bettina Kähler als Referentin geplant. Wir werden auch diese Termine hier und bei Xing ankündigen, sobald sie feststehen.