Sicherheitslücken finden: Fünf Tipps für Unternehmen

20. Januar 2017

Informationssicherheit hat für Unternehmen im Zeitalter von Industrie 4.0 höchste Priorität. Denn in Zeiten von Phishing-Mails, gehackten Accounts und Datendiebstahl genügt ein einziger Klick auf eine infizierte E-Mail, um erheblichen Schaden anzurichten. Werden Kunden-, Lieferanten- oder Produktdatenbanken angegriffen, kann der Schaden schnell in die Millionen gehen. Um sich vor Datenkriminalität zu schützen, setzen Unternehmen daher zunehmend auf Informationssicherheits-Managementsysteme (ISMS). Tatjana Brozat, Auditorin für Informationssicherheit und Dozentin an der TÜV NORD Akademie, erklärt die fünf wichtigsten Erfolgsfaktoren.

 

Im Zeitalter der Digitalisierung nimmt nicht nur der Austausch von Daten rasant zu, auch die Cyberkriminalität steigt exponentiell. Das Bundeskriminalamt (BKA) schätzt auf Grundlage einer Studie des Deutschen Instituts für Wirtschaftsforschung, dass es 2015 rund 15 Millionen Fälle von Computer- und Internetkriminalität gab. Allerdings wird nur ein Bruchteil dieser Fälle angezeigt und damit statistisch erfasst. Für diesen Zeitraum registrierte das BKA insgesamt knapp 45.800 Fälle von Cyberkriminalität und einen Gesamtschaden von mehr als 40,5 Millionen Euro – Tendenz steigend.

Gerade Unternehmen werden zunehmend Opfer von Angriffen auf sensible Produkt- oder Kundendaten. Große Konzerne, aber auch kleine und mittelständische Unternehmen müssen künftig lernen, ihre eigenen Unternehmensdaten besser zu schützen und sich intensiver mit dem wichtigen Thema Informationssicherheit auseinanderzusetzen. „Kunden verlangen zunehmend von ihren Lieferanten dieselben Sicherheitsstandards für Daten, die sie selbst erfüllen. Wer hier nichts vorzuweisen hat, verliert schnell wichtige Kunden“, sagt Tatjana Brozat. Um den Datenschutz langfristig sicherzustellen, ist es deshalb unerlässlich, ein umfassendes ISMS einzuführen: „Der rein technische Schutz durch neue Server oder Firewall-Systeme reicht längst nicht mehr aus. Der Nutzen organisatorischer Maßnahmen, die zusätzlichen Schutz bieten, wird leider häufig unterschätzt. Und genau hier finden sich oft Schwachstellen, die von Kriminellen gnadenlos ausgenutzt werden.“ Unternehmen, die ihre sensiblen Daten professionell schützen und ein ISMS erfolgreich integrieren wollen, sollten laut Tatjana Brozat auf die folgenden fünf entscheidenden Faktoren achten.

Erfolgsfaktor Nummer eins: Informationssicherheit ist Chefsache

„Die Unterstützung durch die Führungsebene steht an erster Stelle“, sagt Brozat. Das Management muss in die Umsetzung eines ISMS eingebunden sein und Vorgaben für die Informationssicherheit festlegen, die unter anderem definieren, welche Informationen geschützt werden müssen.

Erfolgsfaktor Nummer zwei: Ressourcen für die Informationssicherheit

Ohne ausreichende finanzielle und personelle Ressourcen wird die Maßnahme nicht erfolgreich sein, ist Tatjana Brozat überzeugt. „Wichtig ist“, erklärt die Expertin, „dass abhängig von der Unternehmensgröße eine Mitarbeiterin oder ein Mitarbeiter entsprechend geschult wird und als Chief Information Security Officer, kurz CISO, die Verantwortung für das Informationssicherheitsmanagement übernimmt.“ In größeren Unternehmen kann diese Person von Information Security Officers (ISO) unterstützt werden. Entsprechende Schulungen bietet beispielsweise die TÜV NORD Akademie an.

Erfolgsfaktor Nummer drei: Abteilungsübergreifendes Verständnis

Informationssicherheit betrifft alle zentralen Geschäftsprozesse eines Unternehmens. Deshalb ist es wichtig, intern alle Mitarbeitenden für die Bedeutung des Themas und die möglichen Folgen von Sicherheitsverletzungen zu sensibilisieren. Der Erfolg eines ISMS hängt maßgeblich davon ab, dass die Anforderungen eingehalten und im gesamten Unternehmen akzeptiert werden.

Erfolgsfaktor Nummer vier: Geeignete Maßnahmen auswählen

Tatjana Brozat empfiehlt, dass die Maßnahmen des ISMS zur Größe des Unternehmens passen und wirtschaftlich sinnvoll sind. Deshalb sollten von Anfang an organisatorische Maßnahmen definiert werden, beispielsweise ein Rollen- und Berechtigungskonzept. Erst darauf aufbauend sollte die technische Umsetzung erfolgen, etwa durch die Einführung einer Mehrfaktor-Authentifizierung mit Chipkarten in Kombination mit Passwörtern.

Erfolgsfaktor Nummer fünf: Messmethoden definieren

Um den Erfolg eines ISMS überprüfen zu können, ist es wichtig, messbare „Key Performance Indicators“ (KPI) festzulegen. Mit ihrer Hilfe lässt sich die Informationssicherheit im Unternehmen jährlich überprüfen und feststellen, ob sie sich verbessert hat. Ein möglicher Indikator ist die Anzahl der Informationssicherheitsvorfälle. Zu- oder Abnahmen können in einem jährlichen Managementbericht dokumentiert werden.