Was zeichnet ein gelungenes IT-Sicherheitskonzept aus?

Jedes Jahr entsteht deutschen Unternehmen durch Cyberkriminalität ein Millionenschaden. 2018 lag die Schadenssumme durch digitale Industriespionage, Trojaner und Viren bei 61,4 Million Euro, Tendenz steigend. Unternehmensdaten auszuspähen, Unternehmenssysteme zu blockieren und Konzerne zu erpressen – das ist für Kriminelle ein lukratives Geschäft.

Viele Entscheidungsträger meinen, dass Ihr Unternehmen zu klein und zu uninteressant für Angriffe von außen sei. Doch Cyberkriminalität kann Unternehmen jeder Branche und Größe treffen. Ein Sicherheitskonzept ist daher für Unternehmen Pflicht, um den eigenen Erfolg nicht zu gefährden. In einem solchen Konzept definieren Sie die Mindestanforderungen, die im Unternehmen für IT Security gelten sollen und regeln, wie Sie mit internen und externen Bedrohungen umgehen wollen. Das Konzept gibt vor, welche Schutzmaßnahmen Priorität haben und schafft Orientierung für die Implementierung von Technologien und Prozessen.

Damit Unternehmen nicht von Null bei der Erarbeitung beginnen müssen, können sie sich an Standards orientieren, zum Beispiel 200-1, 200-2 und 200-3 vom Bundesamt für Sicherheit in der Informationstechnik (BSI).

Wesentliche Elemente eines Sicherheitskonzepts:

Bestandsanalyse
Welche schutzbedürftigen Elemente sind im Unternehmen vorhanden, d.h. über welche Kommunikationswege werden im Unternehmen Informationen ausgetauscht? Hierbei kann es sich um Rechner, Server, aber auch Mitarbeiter handeln.

Schutzbedarfsfeststellung
Nicht jedes Asset braucht gleich hohe Schutzmaßnahmen. Manche Anwendungen enthalten unternehmenskritische Daten. Daher werden Prozesse, technische Infrastruktur und Mitarbeiterrollen nach Schutzbedarf segmentiert.

Sicherheitstest und Risikoanalyse
Um das aktuelle Sicherheitsniveau festzustellen, werden vorhandene Schutzmaßnahmen mit etablierten Standards abgeglichen. Außerdem empfiehlt es sich, einen Penetrationstest durchführen zu lassen, um das tatsächliche Risiko besser einordnen zu können.

Im Anschluss werden die organisatorischen und technischen Schwachstellen behoben. Als technische Schutzmaßnahmen kommen u.a. Firewalls, Antiviren-Anwendungen und Authentifizierungssoftware zum Einsatz. Auch ein Backup-System sollte aufgebaut werden.