IT Security managen (eBook)

Das Zeitalter, in dem wir leben, bezeichnet man gerne als Informationszeitalter und unsere Gesellschaft als Informationsgesellschaft, in der sich die Zahl der verfügbaren Informationen durch die elektronische Kommunikation in immer kürzer werdenden Abständen verdoppelt.

Im Zusammenspiel mit der Informations- und Kommunikationstechnik hat sich dadurch nicht nur unser privates Leben, sondern auch die Geschäftswelt verändert. Zu den klassischen Produktionsfaktoren Arbeit, Boden und Kapital gesellt sich der Faktor Information und Wissen hinzu, dessen Bedeutung besonders bei innovativen, hochtechnologischen Produkten und Dienstleistungen immer mehr zunimmt.

Die Faktoren Information und Wissen gewinnen auch hinsichtlich der Bestimmung des Unternehmenswertes an Bedeutung. Der Unternehmenswert bemisst sich nicht mehr nur nach Substanz oder Ertrag, vielmehr spielen Informationen und Daten als „Währung des 21. Jahrhunderts“ eine immer entscheidendere Rolle1). Innovationskraft, Digitalisierung und das intelligente Management der Faktoren Information und Kommunikation sind wichtige Erfolgsfaktoren. Annähernd alle Geschäftsprozesse werden maßgeblich von den Faktoren Wissen, Information und Kommunikation beeinflusst. Sie sind daher auch ein entscheidender Wettbewerbsfaktor für das Unternehmen.

Anders herum kann die Kompromittierung oder der Verlust von Informationen und Wissen einen großen Schaden für das Unternehmen bedeuten, wie zahlreiche Beispiele in der Vergangenheit zeigen. Nach einer Selbsteinschätzung von Unternehmen dürfte allein durch Erpressung mit gestohlenen oder verschlüsselten Daten 2022 ein Schaden von 10,7 Mrd. Euro entstanden sein2).

Dies beweist, dass Information ein wichtiges, schützenswertes Gut ist, das als Erfolgsfaktor zu betrachten und entsprechend zu behandeln ist. Die Erfolgschancen von Unternehmen werden in Zukunft zunehmend davon abhängen, wie schnell und sicher Informationen beschafft, genutzt und verarbeitet werden können und ob mit Informationen als Geschäftswert sicher umgegangen wird. Den Schutz der Informationen zu organisieren und zu verantworten, ist primär Aufgabe der Unternehmensführung, die diese Aufgabe weiter delegiert. Je nach Struktur des Unternehmens landet das Thema im IT-Bereich, im GRC3)-Bereich oder in einer eigenen Stabsstelle für Informationssicherheit. Oft findet sich die Rolle des „Chief Information Security Officer“ (CISO) für die personelle Verantwortung. Im Titel dieses Buches wird der Begriff IT-Sicherheit verwendet, denn das Management der Informationssicherheit soll in diesem Buch in Verbindung mit der Informationstechnik behandelt werden. Aus diesem Grund wird im Folgenden für die verantwortliche Person im IT-Sicherheitsmanagement die Abkürzung ITSM verwendet, die für „IT-Sicherheitsmanagerin“ bzw. „IT-Sicherheitsmanager“ steht.

Eine Information besteht im Wesentlichen aus zwei Komponenten:

1. Aussage (Datum). Der eigentliche Informationsinhalt. Beispiel: „Um 13:00 Uhr waren 8 Personen am System angemeldet.“ Es gibt Informationsaussagen, die nur in einem bestimmten Zusammenhang eine Aussage darstellen oder zu einem bestimmten Zeitpunkt gültig sind, zum Beispiel wie viele externe Mitarbeitende zur Zeit unter Vertrag stehen.

2. Neuigkeitswert. Eine echte Information ist nur dann gegeben, wenn das Datum vorher noch nicht bekannt ist. Ein bekanntes Datum informiert den Empfänger nicht (mehr).

Eine Information kann nach verschiedenen Merkmalen charakterisiert werden:

Form. Informationen können die unterschiedlichsten Formen besitzen. Die meisten Informationen im Geschäftsbereich sind visuell (Texte, Symbole, Grafiken, Bilder usw.) und auditiv (Sprache, Töne, Musik) bzw. eine Kombination aus beidem (z.B. Video). Informationen betreffen aber auch alle anderen Sinne. Ein Geruch, eine Gestalt, ein Geschmack oder ein Gefühl – alles kann Information sein.

Physischer Träger. Eine Information ist an keinen physischen Träger gebunden. So kann auch ein Gedanke oder ein Traum eine Information sein. Die Informationssicherheit konzentriert sich aber auf Informationen mit einem physischen Träger.

Zeitlicher Verlauf. Auch Informationen besitzen einen Lebenszyklus (Informationskreislauf) von der Entstehung bis zur „Entsorgung“. „Neue“ Informationen können einen erheblichen Wert darstellen, verlieren diesen Wert aber mehr oder weniger schnell. Eine Information sollte im Unternehmen nicht „einfach da“ sein, sondern aktiv über den gesamten Informationskreislauf hinweg gemanagt werden.

Wahrheitsgehalt. Die Aussage einer Information kann wahr oder falsch und mehr oder weniger präzise sein. Dabei ergibt sich das Problem, dass Wahrheit oft ein vom jeweiligen Umfeld abhängiger relativer Begriff ist. Die Aussage „Die Erde ist eine Scheibe“ galt lange Zeit als wahr, bis sie widerlegt wurde. Zudem kann ohne Verifikation oft nicht sofort entschieden werden, ob eine Information wahr oder falsch ist. Dieses Problem stellt sich beispielsweise in den Nachrichtenmedien, wenn es darum geht, wie zuverlässig die Quelle einer Meldung ist.

Bedeutung für das Unternehmen. Informationen im Geschäftsumfeld sind von unterschiedlicher Bedeutung für das Unternehmen. Eine grobe Einteilung in vier Stufen ist möglich:

Information ist Geschäftsinhalt. Die größte Bedeutung ist gegeben, wenn die Information selbst den Geschäftszweck darstellt. Dies ist beispielsweise bei Nachrichtenmedien, Preisagenturen usw. der Fall. Die Information ist die Ware, die ich kaufe.

Information ist geschäftstragend. Eine geringere, aber dennoch recht große Bedeutung kommt Informationen zu, die für die Geschäftstätigkeit eine tragende Rolle spielen, beispielsweise eine Rezeptur für die Produktion einer Ware.

Information ist geschäftsunterstützend. Unter geschäftsunterstützenden Informationen versteht man Informationen, die nicht direkt die Wertschöpfungskette betreffen, für den geordneten Ablauf aber dennoch benötigt werden. Wartungsinformationen von Maschinen oder Auslastungsquoten von Unternehmensnetzwerken sind Beispiele dafür.

Information ist nebensächlich. In einem Unternehmen gibt es eine Fülle von Informationen, die für die Geschäftstätigkeit des Unternehmens nicht relevant, für die Belegschaft aber recht nützlich sind. Speisepläne der Werkskantine oder die Öffnungszeiten der Werksbibliothek gehören dazu.

Eine Ansammlung von Informationen zu einem bestimmten Thema wird mit dem Begriff Wissen beschrieben. Das Wissensmanagement (es findet sich auch oft die englische Bezeichnung Knowledge Management) nimmt in der Bedeutung für die Unternehmen zu. Es geht um die Fragen „Wie funktioniert etwas?“ (Methodenwissen), „Wie ist etwas?“ (Faktenwissen) und „Wie lässt sich das Wissen im Unternehmen sammeln, dokumentieren und verteilen?“.

Sie als ITSM müssen das Wesen der Informationen kennen, die Sie schützen wollen bzw. müssen. Es ist leicht nachvollziehbar, dass Informationen mit einem hohen Wert (z.B....