Anmerkung zur dritten Auflage

Die grundlegenden Bestandteile eines IT-Sicherheitsmanagements ändern sich nicht in ähnlich kurzen Zeiträumen, wie sich die technische Seite der IT und der IT-Security ändert. Die Schwerpunkte, die fachliche Ausgestaltung und die Prozesse bleiben davon aber nicht unbeeindruckt. Werden Daten vermehrt in Public Clouds verarbeitet, auf Mobiltelefonen gespeichert, über Chat-Apps geteilt oder im Rahmen von Industrie 4.0 in einer Größenordnung erhoben, die bislang kaum denkbar war, dann müssen sich die entsprechenden Maßnahmen der IT-Security an diese Veränderungen anpassen. Der Gesetzgeber hat parallel dazu die Aufgabe, Regelungen zu erlassen, um frühzeitig die Rahmenbedingungen festzulegen und dabei zu helfen, dem Missbrauch entgegenzuwirken. In diesem Zusammenhang werden weltweit neue Gesetze erlassen und entsprechende Kontrollgremien eingesetzt. Völlig unterschiedlich gelagerte Beispiele dafür sind die EU-Datenschutz-Grundverordnung (EU-DSGVO), das IT-Sicherheitsgesetz oder das China Cybersecurity Law. Alle diese Regelungen haben immense Auswirkungen darauf, wie Unternehmen Daten erfassen, verarbeiten, speichern oder austauschen dürfen. In der Fülle und der Bandbreite der neuen Regelungen liegt aber immer auch die immanente Gefahr, etwas falsch zu machen, weil man eben den falschen Weg gewählt hat, mit diesen Anforderungen umzugehen. Der Weg aus dieser Problematik ist es, einem Lösungsansatz zu folgen, der zum einen international bekannt und anerkannt ist und zum anderen auf einem stringenten Prozess-Modell basiert, das so angelegt ist, dass alle oben genannten Punkte abgedeckt werden können. Dieser Weg ist die Einführung eines IT-Sicherheitsmanagements auf Basis der ISO-27000-Normen-Familie unter Beachtung der datenschutzrechtlichen Bestimmungen der EU-DSGVO.

Auch wenn sich seit der 2. Auflage einiges auf dem Sektor der Informationssicherheit getan hat, so hat sich dennoch gezeigt, dass die Leitplanken, die durch die beherrschenden Normen der ISO-2700x-Reihe gelegt wurden, Bestand hatten und auch weiterhin Bestand haben werden. So richten sich an den Prozessmodellen dieser Normen in der Zwischenzeit nationale Gesetze genauso aus wie auch die Anforderungen von Unternehmen und dem öffentlichen Sektor. Diese Standardisierung und das damit einhergehende Ziehen am gleichen Seil ist auch bitter nötig. Die Zahl der täglich gemessenen gezielten Cyber-Angriffe steigt unaufhörlich weiter, während parallel deren Qualität im Durchschnitt immer weiter zunimmt.

Mit der Covid-19-Krise ändern sich die Angriffsvektoren und passen sich neuen Arbeitsprozessen an. Insbesondere Unternehmen, die kein umfassendes Sicherheitskonzept etabliert haben, bekommen dies zu spüren. Mitarbeiter arbeiten im weitgehend ungesicherten häuslichen Umfeld, Budgets werden eingefroren und personell ausgedünnte IT-Abteilungen werden der Masse an Makro- und Ransomware-Angriffen nicht mehr Herr. Jede Fehlkonfiguration an einem Server oder einer Sicherheitssoftware kann in einem solchen Umfeld schnell den Cyber-Supergau bedeuten. Für Unternehmen, die gleichzeitig in einem angespannten wirtschaftlichen Umfeld agieren, kann dies schnell auch das Aus bedeuten.

Niemals zuvor ist die Verflechtung von Lieferketten so offensichtlich zutage getreten wie nach den Lockdowns verschiedener Länder oder Regionen. Dies gilt auch für Datenflüsse zwischen Lieferanten und Herstellern und damit verwundert es nicht, dass die großen Branchenverbände längst damit begonnen haben, nicht nur diejenigen Daten sicher zu verarbeiten, die sie im eigenen Zugriff haben, sondern auch Lieferanten anzuhalten, Sicherheitsstandards einzuhalten. Aus diesem Grund habe ich ein Kapitel zu dem viel beachteten Branchenstandard der deutschen Automobilindustrie, der unter der Abkürzung »TISAX« bekannt ist, im Kapitel »Compliance« hinzugefügt. Sehr ähnliche Standards entstehen in vielen Branchen und letzten Endes werden sie sich aufgrund der gleichen Wurzeln auch nicht wesentlich voneinander unterscheiden.

Neben dem eben erwähnten neu hinzugefügten Sicherheitsfeld wurden in der vorliegenden Auflage viele Kapitel aktualisiert.

Ich möchte all denjenigen danken, die mir Input bezüglich neuer Gesichtspunkte gegeben haben. Dies schließt sowohl die wohlmeinende Kritik an einzelnen Punkten durch Leser als auch das Feedback meiner Studierenden und der Professoren an der Hochschule oder von Kollegen im Unternehmen mit ein. Auch wenn man sich selbst als Generalisten im IT-Sicherheitsbereich sieht, ist man nicht ganz vom Tunneldenken befreit und übersieht doch das eine oder andere Mal neue Aspekte und neue Denkansätze – obwohl sie doch so offensichtlich vor einem liegen.

Über die Zielgruppe

Nicht alle Wege, aber zumindest sehr viele, führen nach Rom, und wohl ebenso viele Wege führen zum Job des IT-Security-Managers. Einige Kandidaten haben schon ein paar Jahre Berufserfahrung in ähnlichen Bereichen gesammelt, haben bereits einschlägige Erfahrungen gemacht oder kommen direkt aus dem Studium, in dem sie das Thema, zumindest theoretisch, schon behandelt haben.

Andere, und damit sind wir wieder bei den vielen Wegen angekommen, die zum Ziel führen, sind Neueinsteiger oder Quereinsteiger. Vielleicht kommen sie aus der IT-Abteilung und haben zuvor Server administriert oder Softwareprojekte geleitet. In manchen Fällen waren sie davor aber auch im Controlling oder in der Unternehmensplanung tätig und haben sich mit Qualitätsaudits oder Risikomanagement beschäftigt. Diese Kollegen stehen dann häufig vor der Herausforderung, dass sie, selbst wenn sie angekommen sind (nicht in Rom selbstverständlich, sondern am Arbeitsplatz des IT-Security-Managers), die schiere Menge an Einzelthemen dann fast erschlägt.

Beiden Gruppen kann man aufrichtig versichern, dass es kaum eine Aufgabe gibt, die vielschichtiger und vielseitiger gestaltbar ist, als diese. Gerade der Umfang schafft die Chance, dem Arbeitsplatz den eigenen Stempel aufzudrücken, und wenn man die Grundlagen einmal verstanden hat, fällt es schwer, sich eine spannendere Aufgabe vorzustellen. Das Gebiet der IT-Security ist nicht so alt, als dass es bereits fest ausgetretene Pfade gäbe. Vielmehr gehen die Meinungen, was denn ein IT-Security-Manager zu tun hat, weit auseinander. Damit muss sich die IT-Security-Organisation dem Unternehmen flexibel anpassen. Stetige Veränderungen, hinzukommende Verknüpfungen mit anderen Abteilungen und die laufende Kommunikation mit denen, die Daten verarbeiten, und denen, die sie verwalten, bringen einerseits Abwechslung und andererseits den Druck, laufend hinzuzulernen.

Für alle, die frisch einsteigen, schon Erfahrungen haben oder gar aus einem ganz anderen Fachgebiet heraus quereinsteigen und nun auf einfache, aber doch umfassende Art in die Thematik IT-Security eingeführt werden wollen, ist das vorliegende Buch gedacht.

Aufbau des Buches

Für eine strukturierte Vorgehensweise beim Durcharbeiten des Buches ist es sinnvoll, mit dem ersten Kapitel »Umfang und Aufgabe des IT-Security-Managements« zu beginnen. Im Grunde umreißt es das Aufgabengebiet und bringt die verschiedenen Themen in einen Zusammenhang. Ein guter Einstieg, um danach zielgerichtet diejenigen Kapitel zu betrachten, die einem selbst am interessantesten erscheinen. Aus diesem Grund sind alle Kapitel so verfasst, dass ein direkter Einstieg erleichtert wird.

Ansonsten gilt: Für ein durchgängiges Verständnis und als eine Art roter Faden ist es empfehlenswert, sich erst um Fundament und Dach zu kümmern, bevor die verschiedenen Säulen abgearbeitet werden.

Jedes Kapitel beschreibt einen zusammenhängenden Themenbereich der IT-Security. Der Aufbau bleibt dabei immer ähnlich. Obligatorische Theorie wechselt sich ab mit Tipps aus der Praxis für die Praxis, ein paar Beispielen und dazu Aufzählungen und Checklisten als Hilfestellung. Die einzelnen Themen umfassen dabei das notwendige Wissen, um den Arbeitsplatz IT-Security ausfüllen zu können, und häufig noch etwas mehr.

Die Aufgaben eines IT-Security-Managers sind vielfältig und abwechslungsreich, bauen aber immer wieder aufeinander auf. Es gibt Themen wie das IT-Risikomanagement, die in den verschiedensten Fragestellungen immer wieder auftauchen. So ist das Wissen notwendig, wie eine Risikobewertung durchgeführt wird, wenn es darum geht, Prioritäten in der Notfallvorsorge zu treffen, aber genauso auch im alltäglichen Betrieb, wenn es um die Berechtigungsvergabe oder die Entscheidung für und wider einer einzukaufenden Software geht. Aus diesem Grund wird dieses Aufgabenfeld als Teil der Dachkonstruktion in der Abbildung abgebildet.

Die weiteren Elemente des Hauses stellen die anderen Kapitel des Buches dar. Manche Themen bilden das Fundament für den gesamten Komplex, wieder andere bilden zusammen mit einem oder zwei Bereichen eine Einheit. So sind die Kapitel zum IT-Notfallmanagement und zum Verfügbarkeitsmanagement zwei Teile des übergeordneten Themas IT Business Continuity Management.

Die Wahl, die IT-Security-Organisation, die IT-Compliance, das IT-Security Incident Management und die Bildung von Awareness als Fundament zu nutzen, fiel aufgrund der Tatsache, dass es nicht möglich ist, sie immer und immer wieder mitzubetrachten. Gleichgültig, welche Maßnahme implementiert oder welche Richtlinie durchgesetzt werden soll, immer stellt sich die Frage, wie diese zu kommunizieren und zu schulen ist, wie die inneren und äußeren Anforderungen aussehen und wie die IT-Security-Organisation aufgebaut sein muss, um dies auch bewältigen zu können.

Ein Kapitel sticht etwas hervor. Das reine Praxiskapitel über die Einführung eines Information Security Management Systems (ISMS) steht etwas abseits am rechten Rand des Hauses. Diese Zuordnung soll vergegenwärtigen, dass alle im Buch behandelten Themen in irgendeiner Art und Weise Teil des ISMS sind. Die Zusammenführung und die Annäherung an die Praxis werden an dieser Stelle vertieft angegangen.

1.1  Kapitelzusammenfassung

Im Rahmen des ersten Kapitels werden die einzelnen Themengebiete des IT-Security-Managements in einen Gesamtzusammenhang eingebettet. Es wird erläutert, warum man Informationen schützen muss und wie diese Aufgabe durch die IT-Security-Organisation wahrgenommen wird.

Die Top-5-Fragen zum aktuellen Kapitel:

• Sind die Aufgabengebiete definiert, die dem IT-Security-Management zugeordnet werden?

• Sind die organisatorischen Einheiten, die sich um die Betreuung von sicherheitsrelevanten Systemen kümmern, darüber informiert und dahin gehend instruiert, dass sie sich im Einflussbereich des IT-Security-Managements befinden?

• Wurden Schutzziele zusammen mit der Unternehmensleitung definiert?

• Werden die Grundregeln (Prinzipien) im Umgang mit Informationen kommuniziert und in der Praxis umgesetzt?

• Werden die Grundpfeiler der IT-Security, das IT-Risikomanagement, die IT-Compliance und die IT-Governance auch in Verbindung mit dem IT-Security-Management gebracht und damit auch als Aufgabe des Managers IT-Security gesehen?

1.2  Einführung

Ransomware, Industrie 4.0, die EU-Datenschutz-Grundverordnung, Mobility, Heimarbeitsplätze, Public-Cloud-Services und viele andere Themen haben in letzter Zeit die Schlagzeilen beherrscht. Angesichts der Wucht dieser Themen und den häufig noch fehlenden, umfassenden Sicherheitsarchitekturen, die man benötigt, um diese zu beherrschen, geht immer häufiger das Gefühl dafür verloren, wie diese Sicherheits-Felder miteinander verwoben sind, und vor allem auch, wie diese mit den klassischen Sicherheitsanforderungen wie dem Assetmanagement oder auch einem Antivirenkonzept verknüpft werden müssen. Altes Wissen trifft dabei auf völlig neue Bedrohungen. In dieser Gemengelage ist es die Aufgabe des Managers IT-Security, den Überblick zu bewahren und auf die wichtigen Bedrohungen mit den erforderlichen Maßnahmen in angemessener Weise zu reagieren. Im Sprachgebrauch dieses Buches unterscheidet er sich damit von einem IT-Security-Experten, der Fachmann für ein dediziertes Feld der IT-Security ist und sich vorwiegend auch nur innerhalb dieses Arbeitsgebiets bewegt.

Der Manager IT-Security sieht sich in der Situation, das Know-how des Unternehmens zu schützen, indem er Bedrohungen erkennt, abschätzt und diesen dann geeignete Sicherheitskonzepte und Maßnahmen entgegensetzt. Zu diesem Zweck bedient er sich Werkzeugen, die in diesem Buch dargestellt werden. Diese Werkzeuge haben sich über die Jahre bewährt und in der Zwischenzeit auch international durchgesetzt. Aus diesem Grund ist es nicht überraschend, dass sich eine recht junge EU-Datenschutz-Grundverordnung der gleichen Prozesse bedient wie eine »ältere« ISO-27001-Norm.

1.3  Informationen und Daten

Der Schutz von Informationen‌‌‌, also dem Know-how des Unternehmens, ist die Aufgabe des IT-Security-Managements. Nur was sind Informationen und worin unterscheiden sie sich von Daten? Daten sind eine technische Darstellung von Informationen. Anders ausgedrückt: Informationen sind Daten, die einen Sinn ergeben. Auf niedrigster Ebene bestehen sie aus den physikalischen Zuständen »hohe Spannung« oder »niedrige Spannung« oder übersetzt null oder eins. Somit sind Daten zunächst einmal Bits und Bytes, deren Interpretation wiederum Informationen ergeben. Sicherheitsmaßnahmen wiederum kann man nicht direkt auf Informationen beziehen. Setzt man Verschlüsselung ein, dann werden die Daten verschlüsselt. Installiert man einen Virenscanner, dann schützt man das Betriebssystem und indirekt wieder die Daten. Ganz anders, wenn man dies aus der Perspektive des Risikomanagements betrachtet, dann stehen die Informationen im Mittelpunkt und deren Wert für das Unternehmen. Wenn wir also von Informationsschutz sprechen, dann geht es im Grunde darum, alle Systeme inklusive der Daten technisch zu schützen, um die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen zu bewahren.

Die Gewinnung von Informationen aus einem Pool von Daten geschieht durch eine Fragestellung. So sind Daten mit der Ausprägung »4 Eier, 450 g Mehl, 400 ml Milch, Vanillezucker, 210 g Zucker und eine Prise Salz« nur im Zusammenhang mit der Frage »Was benötige ich, um vernünftige Pfannkuchen machen zu können?« als Information anzusehen. Ohne Fragestellung sind es nur beliebige, nicht zusammenhängende Daten. Daraus kann man ersehen, dass Daten zunächst einmal keinen Kontextbezug haben. Das wertvolle Gut, das es zu schützen gilt, ist also mehr als nur eine Menge von Bits und Bytes auf Festplatten.

Jede Form von Informationen, wie immer sie auch ausgestaltet sein mögen und deren Verlust einen Schaden für das Unternehmen bedeutete, gehört zu den Unternehmenswerten, die im Fokus des Managers IT-Security liegen.

Informationen können in vielfältiger Form vorliegen. Die Erfahrungen von Mitarbeitern gehören genauso zu den schützenswerten Informationen wie Informationen, die auf Datenträgern vorliegen und durch IT-Systeme verarbeitet werden. Im Gegensatz zu Ersteren können Informationen, die auf Datenträgern wie Festplatten oder auf Papier vorliegen, generell geschützt werden. Deshalb konzentrieren sich viele Maßnahmen der IT-Security auf diese Art der Informationen.

Informationen haben einen Lebenszyklus‌‌ und einen je nach Alter unterschiedlichen Schutzbedarf. So sind Informationen über eine technische Neuentwicklung zunächst einmal sehr sensibel, da der Schaden bei Verlust in diesem Stadium am höchsten wäre. Wird die Neuentwicklung zur Serienreife gebracht, so ist der Schutzbedarf vielleicht immer noch hoch, aber nicht mehr so hoch wie zu Anfang. Dies ändert sich dann weiter, wenn die Produktion und Auslieferung beginnt. Ab diesem Zeitpunkt kann auch ein Konkurrent leicht auf das Produkt zugreifen und erforderliche Informationen extrahieren. Der Schutzbedarf ist in dieser Phase damit deutlich niedriger als zu Beginn.

Informationen sind unterschiedlich wichtig, eine Tatsache, die sich in der Bewertung auf Basis der Klassifizierungsrichtlinie widerspiegeln muss. Diese dient dazu, Unternehmenswerte nach Schutzbedarf einzustufen. Im Rahmen der Verfügbarmachung von Informationen spielt es noch eine Rolle, inwieweit unwichtige Informationen herausgefiltert werden können. Dazu zählen Informationen, die für den Betrieb des Unternehmens keinerlei Rolle spielen und deren Vermischung mit relevanten Informationen Zeit und Ressourcen kosten. Zu diesen unwichtigen Informationen kann man z.B. Spam-E-Mails zählen.

Die Klassifizierung von Informationen ist ein wichtiges Instrument für den Manager IT-Security, weil sie aufzeigt, worauf er sich konzentrieren muss und worauf nicht. Außerdem bildet sie die Grundlage für das IT-Risikomanagement. Der Prozess der Einstufung von Unternehmenswerten wird unter aktiver Mithilfe des Erstellers der Information durchgeführt und hat weitreichende Auswirkung auf die Speicherung, die Verarbeitung, den Zugang und das Backup der Information.

1.4  IT-Security-Management ist wichtig

‌In Unternehmen, in denen ein organisatorischer Bereich IT-Dienstleistungen erbringt, ohne direkt Teil der Wertschöpfungskette zu sein, wird es schwerer fallen, IT-Security zu leben, als in einem Unternehmen, dessen Selbstzweck aus IT-Dienstleistungen besteht. Unternehmen, deren IT-Leitung in der Unternehmensspitze repräsentiert wird, haben wiederum einen administrativen Vorteil gegenüber Unternehmen, in denen dies nicht der Fall ist. Diese Zusammenhänge lassen sich immer wieder finden und durchziehen alle Unternehmen. Damit im Zusammenhang steht die Tatsache, dass IT-Security immer noch stark als IT-Thema gesehen wird und häufig nicht die Unternehmensleitung, das Controlling oder der Vorstand als Treiber und Förderer in Erscheinung tritt. Diese Sichtweise ist einem laufenden Wandel unterzogen und es ist zu erkennen, dass sich dies in vielen Ländern immer schneller ändert. So hat das in Deutschland seit Juli 2015 gültige Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme, das IT-Sicherheitsgesetz‌ (IT-SiG), dazu geführt, dass Unternehmen, die kritische Infrastrukturen betreiben, mit hohem Aufwand Sicherheitsmanagementsysteme implementiert haben. Mit der Version 2.0 dieses Gesetzes wird der Geltungsbereich auf noch deutlich mehr Unternehmen ausgeweitet, was wiederum einen neuen Schub mit sich bringen wird. Auf europäischer Ebene sind weitere Richtlinien in der Ausarbeitung, die diesen Schwung noch verstärken werden.

In Ländern wie den USA hat man bereits früher damit begonnen. Der Grund hierfür liegt auch in der sich schnell weiterentwickelnden Gesetzgebung. So haben die Skandale um die Firmen Enron und WorldCom hohe Wellen geschlagen, die bereits 2002 im Sarbanes-Oxley Act‌ mündeten. Dieses Gesetz soll die Verlässlichkeit von Finanzdaten amerikanischer Firmen sicherstellen, und dafür greift es tief in die Nachvollziehbarkeit administrativer Handlungen im Umgang mit Daten ein. Eine ganze Reihe an Prozessen und Vorgehensmodellen müssen umgesetzt werden, um dies zu erreichen, und die meisten davon zielen in die gleiche Richtung wie ein umfassendes IT-Security-Management.

Das führt zu dem zugegebenermaßen nicht repräsentativen Bild, dass ein Softwareunternehmen, das mit dem Verkauf von Applikationen seinen Umsatz erzielt, von vornherein eher darauf bedacht sein wird, dass die Innovationen, die im Produkt stecken, vertraulich bleiben, als ein Unternehmen der Chemiebranche mit mindestens ebenso sensiblen Daten. Das zeigt die Erfahrung der letzten Jahre und das viele Feedback auf entsprechende Umfragen.

Worin liegt aber nun der Unterschied zwischen Unternehmen A, das, sagen wir mal, Dünger verkauft, und Unternehmen B, das sein Geld mit innovativer Grafiksoftware verdient? Zum einen liegt es vermutlich daran, dass in Unternehmen B Menschen beschäftigt sind, die innerhalb des großen Feldes der IT arbeiten. Programmierer und Administratoren, die sich ständig austauschen und die schon von Berufs wegen eine starke Affinität zu dieser Thematik haben. In Unternehmen B arbeiten vor allem Ingenieure an den neuen Produkten. Sie tun dies zwar, indem sie Computer für die Modellierung benutzen, aber im Grunde ist die IT eine Abteilung, die nur dafür zu sorgen hat, dass diese Arbeit reibungslos vonstattengeht. Sie sollte sich also, möglichst unsichtbar, im Hintergrund halten.

Hebt man den Blick an und konzentriert sich auf die strategische Ebene, dann verschwinden die Unterschiede sehr schnell, und es wird ersichtlich, dass die Aufgabe des IT-Security-Managements aus genau den gleichen Gründen wichtig für beide Unternehmen ist.

Folgende Grundsätze sollen verdeutlichen, warum das IT-Security-Management eine unternehmerische Kernaufgabe darstellt – unabhängig von Geschäftszweck und auch unabhängig von der Unternehmensgröße:

• IT-Security ist wichtig für alle Unternehmen, die Know-how besitzen, das sie zu einem wichtigen Player auf dem Markt macht.

• IT-Security ist wichtig für alle Unternehmen, die Konkurrenten auf dem Markt haben.

• IT-Security ist wichtig für alle Unternehmen, die Technologien einsetzen, die verwundbar gegenüber Angriffen sein könnten.

• IT-Security ist wichtig für alle Unternehmen, die personenbezogene Daten speichern und verarbeiten.

Wenn man die Dinge von dieser Warte aus sieht, dann gibt es keine Unterschiede mehr zwischen Düngerherstellern, Softwareproduzenten oder öffentlichen Einrichtungen. Die Implementierung eines IT-Security-Managements ist für alle Unternehmen aller Geschäftsfelder entscheidend, um auf dem freien Markt bestehen zu können.

Die Unterschiede liegen dann nur noch in der Handhabung und Bewertung der verschiedenen Sicherheitsprozesse begründet. Also darin, wie man Risiken bewertet und davon abgeleitet, welches Budget man investiert, um Maßnahmen zur Risikoreduzierung zu installieren.

1.5  Wie gefährdet sind die Unternehmensdaten

Staatliche und private Stellen versuchen, die globale Gefährdungslage regelmäßig zu erfassen und geeignet darzustellen. Aus dieser Darstellung lassen sich Trends ablesen, die der Unternehmensleitung ein unabhängiges Bild ermöglichen, bevor sie daran geht, die dort gesammelten Informationen auf das eigene Unternehmen abzubilden.

1.6  Begrifflichkeiten

Der Begriff »IT-Sicherheitsmanagement« beinhaltet bereits in seinem Namen eine Einschränkung: Es geht ganz offensichtlich um eine Aufgabe innerhalb der IT, besser ausgedrückt, um eine Aufgabe innerhalb der Abteilung, die sich mit der Informationstechnologie beschäftigt. Wenn man nun aber den Prozess der Wertschöpfung eines Unternehmens betrachtet, dann fällt schnell auf, dass sich, um ein Produkt herzustellen, viele zu schützende Unternehmenswerte überhaupt nicht im Einflussgebiet der IT bewegen. Dazu kann der Prototyp gehören, dessen Form von Hand hergestellt wird, oder die Kalkulation, die von einem Controller auf ein Flipchart aufgeschrieben und im Besprechungszimmer vergessen wird. Wenn man die Schutzmaßnahmen betrachtet, die erforderlich sind, um Informationen oder auch den Prototyp von eben zu schützen, dann wird dies noch deutlicher. Die ISO 27002 führt diesbezüglich eine ganze Reihe an Maßnahmen auf, wie den Gebäudeschutz inklusive des Zauns um den Entwicklungsstandort. So gesehen deckt die IT-Security einen großen Teil der in den einschlägigen Standards beschriebenen Themenfelder ab, aber eben nicht alle. Folgt man dieser Logik, dann kann die IT-Security als Untermenge der Informationssicherheit gesehen werden. Die Informationssicherheit wiederum kann um sicherheitsrelevante Themen wie den Reiseschutz oder den Werkschutz ergänzt werden. Was letztendlich welchem Oberbegriff zugeschlagen wird, ist individuell in jedem Unternehmen zu regeln. Wichtig ist nur, dass die Trennung klar kommuniziert ist, um Reibungspunkte zu vermeiden. Aus diesem Grund werden diese Aufgaben in großen Unternehmen meistens gebündelt und einem Gesamtverantwortlichen unterstellt. Seitdem die EU-Datenschutz-Grundverordnung im Mai 2018 in Kraft getreten ist, steht an der Spitze einer solchen Organisation immer häufiger der Datenschutzbeauftragte.

Im Rahmen dieses Buches sprechen wir durchgehend von der IT-Security, dem Manager IT-Security und dem IT-Security-Management, weil es sich vorwiegend auf die Aufgaben innerhalb der Informationstechnologie bezieht. Wenn angrenzende oder nicht klar abgegrenzte Themengebiete angesprochen werden, z.B. wenn der Schutz von Rechenzentren zur Sprache kommt, die man gut und gerne dem physischen Schutz und damit z.B. dem Facility-Manager zuordnen kann, dann wird auf diesen Sachverhalt hingewiesen.

In der Diskussion rund um den Themenbereich »IT-Security« taucht eine Reihe von weiteren Begriffen auf, die zum Teil synonym verwendet werden. Dazu gehören zum einen der Begriff »Datenschutz« und zum anderen die Begriffe »Informationsschutz«, »Informationssicherheit«, »Datensicherheit«, »Cyber Security« oder »IT-Sicherheit«. Der Datenschutz, auf Englisch »data privacy«, bezieht sich dabei auf personenbezogene Informationen, deren Speicherung und Verarbeitung in der EU-Datenschutz-Grundverordnung und den länderspezifischen Gesetzen geregelt werden.

Die Begriffe »Informationsschutz«, »Informationssicherheit«, »Datensicherheit« und »IT-Sicherheit« werden im Englischen oft unter dem Oberbegriff »IT security« oder allgemeiner »information security« zusammengefasst und beschreiben den allgemeinen Schutz von Informationen. Dabei ist es zunächst unerheblich, ob diese Informationen in Form von elektronisch verarbeitbaren Daten oder in Form von Papierdokumenten vorliegen.

Das IT-Security-Management hat den Schutz von Know-how im weitesten Sinne zum Ziel. Daraus ist abzuleiten, dass die Sicht rein auf elektronische Daten zu kurz greift, auch wenn dies die Bezeichnung »IT-Security« so suggeriert. Prozesse, Richtlinien und schlicht das Verhalten im Umgang mit Informationen muss so ausgelegt sein, dass der Träger der Information dabei möglichst variabel sein kann. Greift eine Richtlinie in den Prozess des Ausdruckens von Kalkulationstabellen ein, so sind technische Maßnahmen sinnvoll, die es erlauben, sicherzustellen, dass der Ausdruck erst dann geschieht, wenn der berechtigte Mitarbeiter vor dem Drucker steht. Daneben muss es aber auch Richtlinien geben, die festlegen, wie mit den ausgedruckten Tabellen umgegangen werden muss. Zu diesen Vorschriften gehört eine Clean-Desk-Richtlinie genauso wie eine definierte Kennzeichnungspflicht und Regeln bezüglich der Weitergabe dieser Dokumente.

1.7  Selbstverständnis der IT-Security-Organisation

Verantwortlich für das Know-how des Unternehmens in jeder Form ist die Unternehmensleitung. Der Manager IT-Security arbeitet innerhalb des Kompetenzrahmens, der ihm zugewiesen wird, und setzt die Vorgaben und Ziele der Unternehmensleitung zum Informationsschutz um. Sinnvollerweise sind diese Ziele weit gefasst und geben dem Manager IT-Security die Möglichkeit, eigenverantwortlich und umfassend zu agieren. Da anerkanntermaßen kein 100%iger Schutz möglich ist, wird es immer um eine Annäherung an einen definierten Idealzustand gehen. Dieser Idealzustand bewegt sich zwischen einem optimalen Sicherheitszustand und dem, was mit vertretbarem Aufwand und Kosten möglich ist. Dieser Idealzustand ist das sogenannte »angestrebte Sicherheitsniveau«. Die Annäherung erfolgt in allen Teilbereichen des IT-Security-Managements gleichermaßen, und der jeweilige Status wird immer Schwankungen unterworfen sein.

Der Begriff »Information« umschreibt das schützenswerte Know-how eines Unternehmens und kann in vielerlei Form vorliegen. Dazu gehören Informationen auf Datenträgern genauso wie Konstruktionszeichnungen auf Zeichentischen. Auch wie diese Informationen geschützt werden sollen, ist zumeist anerkanntes Wissen in den Unternehmen und wird durch den Schutz der Vertraulichkeit, der Integrität und der Verfügbarkeit der Informationen umschrieben. Die eben genannten Schutzziele‌ können je nach Bedarf durch weitere ergänzt werden. Ein weiteres Schutzziel, das häufig genannt wird, ist die »Authentizität«. In Abbildung 1.2 werden die gängigsten Schutzziele aufgeführt und kurz beschrieben.

Die Einwirkung der IT-Security beginnt bei der Entstehung der Daten, reicht über deren Verwendung und Weitergabe bis hin zum ordnungsgemäßen, geregelten Löschen. Zu jedem Zeitpunkt innerhalb dieses Lebenszyklus stehen sich die drei Schutzziele in einer Art Spannungsdreieck gegenüber. Zu jedem Zeitpunkt muss also entschieden werden, ob z.B. die Vertraulichkeit leiden darf, um den Grad der Verfügbarkeit für weitere Leser zu erhöhen, oder ob die Integrität der Daten einer gesteigerten Vertraulichkeit weichen darf und die Daten z.B. aus Sicherheitsgründen nicht mehr im Rahmen der Datensicherung gesichert werden.

Alle diese Fragen verlangen nach Antworten, die direkten Einfluss auf Informationen, damit auf das Know-how und so wiederum auf die Geschicke eines Unternehmens haben können. Inwieweit die IT-Security regulierend und Entscheidungen treffend in diesen Prozess eingreift, wird von Unternehmen zu Unternehmen unterschiedlich sein und maßgeblich davon abhängen, wie das IT-Security-Management geprägt ist, und vor allem auch, wie es im Unternehmen verankert ist.

Einer der ersten Schritte beim Aufbau einer IT-Security-Organisation behandelt die Abgrenzung der Aufgaben der IT-Security von den Aufgaben des Dateneigentümers, also des Erstellers der Daten und damit der im Grunde einzigen Person, die den Schutzbedarf‌ einer Information bewerten kann. Ist dieses Verhältnis geklärt und hat das Top-Management eine Aussage darüber getroffen, welchen normativen Grundlagen die IT-Security folgen soll, dann kann damit begonnen werden, die technischen, organisatorischen und rechtlichen Maßnahmen einzuleiten, die erforderlich sind, um die Kernaufgaben zu erfüllen. Was bleibt, ist das oben erwähnte Spannungsfeld und die damit einhergehenden Diskussionen mit den Organisationseinheiten, die jeweils eines der Felder höher priorisieren wollen und die damit in einen Interessenkonflikt mit den Leitlinien der IT-Security geraten können.

Es gibt keine Möglichkeit, diese von Natur aus gegensätzlichen Interessen komplett aufzulösen, und das ist der Hauptgrund dafür, dass ein IT-Security-Management nicht Bauchentscheidungen folgen darf, sondern formale Methoden entwickeln muss, die dokumentiert sind und durch das Management getragen werden. Durch diese Art der formalen Abarbeitung wird die IT-Security-Organisation weniger angreifbar und damit handlungsfähig bleiben. Wenn die genannten Rahmenbedingungen geklärt sind, die formalen Strukturen existieren und die IT-Security-Organisation mit ausreichenden Kompetenzen ausgestattet ist, kann sie ihre Aufgabe als kontrollierende und regulierende Instanz erfolgreich wahrnehmen.

1.8  Grundregeln

Die allermeisten Handlungen, die im Rahmen der IT-Security auf Basis von Vorgaben, die aus Normen, Regelungen, Verträgen oder auch dem gesunden Menschenverstand abgeleitet wurden, ausgeführt werden, lassen sich auf eine Reihe von grundlegenden Regeln zurückführen, die man oft auch als »Prinzipien‌« bezeichnet. Diese Regeln werden im Rahmen des vorliegenden Buches an verschiedenen Stellen wieder auftauchen. Die Regeln zu kennen, ist sehr hilfreich, um das »Warum« zu verstehen, wenn innerhalb eines Themenbereichs eine Vorgehensweise beschrieben wird.

Wie die meisten Regeln haben sich auch diese im Laufe der Zeit herausgebildet und wurden schlussendlich als Erforderlichkeit anerkannt. Um allgemeingültig anwendbar zu sein, müssen sie schon per se auf einer höheren Abstraktionsebene angesiedelt sein. Trotzdem fällt es leicht, sich für jedes Prinzip einen Anwendungsfall vorzustellen.