IT Security managen (eBook)

Praxishandbuch

Klaus Schmidt (Autor)

eBook Download: PDF | EPUB

2024 | 2., überarbeitete Auflage
358 Seiten
Carl Hanser Verlag GmbH & Co. KG
978-3-446-48168-8 (ISBN)

Infos

Sicher ist sicher

• Die Basis für Ihren Erfolg in der Verantwortung für das IT Security Management
• Einführung in die wichtigen Themen des IT Security Managements
• Hilfe für die vielfältigen Anforderungen in der Praxis
• Neu in der 2. Auflage: Ausführliche Darstellung des Themenblocks IT Security Policy, Management der Sicherheit von operativer Technologie (OT-Security), Aktualisierte gesetzliche Regelungen, z.B. DSGVO, EU Cybersecurity Act, DDG, TTD
• Ihr exklusiver Vorteil: E-Book inside beim Kauf des gedruckten Buches

---

IT-Sicherheit ist weit mehr als nur der Einsatz technischer Sicherheitsmaßnahmen wie Firewalls oder Virenschutz. Eine beständige und wirtschaftliche Sicherheit für Ihre IT erreichen Sie nur, wenn Sie die IT-Risiken kontinuierlich managen und die IT-Sicherheit ganzheitlich betrachten, wozu neben der physischen und technischen Situation auch die Einbeziehung von personellen und organisatorischen Faktoren gehören.

Dieses Praxishandbuch geht nicht nur auf die Methodik des IT Security Managements ein, so wie dies viele andere Bücher über das Thema tun, sondern widmet sich vor allem den Dingen dahinter, zum Beispiel unternehmenspolitischen Einflüssen, organisatorischen Fragestellungen oder taktischen Überlegungen. Damit beschäftigt es sich mit den Managementaspekten, mit denen Sie in der Verantwortung für das IT Security Management in Ihrer täglichen Arbeit konfrontiert werden und geht auf die Aspekte ein, die Sie berücksichtigen müssen, um in Ihrer Tätigkeit erfolgreich zu sein.

Aus dem Inhalt:
Stellenwert der Informationssicherheit
Risiko und Sicherheit
Sicherheitsorganisation
Methodische Managementgrundlagen
Sicherheit definieren und vorgeben
Risiken erkennen und bewerten
Reporting
Business Continuity
Notfallmanagement
Incident Handling und IT-Forensik.

Autor

Klaus Schmidt unterstützt im Rahmen des Innomenta Security Consulting deutsche Großunternehmen beim Aufbau und der Optimierung des Managements der Informationssicherheit. In den über 20 Jahren seiner Tätigkeit wurde er als Information Security Manager zertifiziert, hat Sicherheitsmanager ausgebildet, war Lehrbeauftragter der Hochschule Fulda, regelmäßiger Seminarleiter des Management Circle und Autor mehrerer Fachbücher.

Textauszug

1	Stellenwert der Informationssicherheit

Das Zeitalter, in dem wir leben, bezeichnet man gerne als Informationszeitalter und unsere Gesellschaft als Informationsgesellschaft, in der sich die Zahl der verfügbaren Informationen durch die elektronische Kommunikation in immer kürzer werdenden Abständen verdoppelt.

Im Zusammenspiel mit der Informations- und Kommunikationstechnik hat sich dadurch nicht nur unser privates Leben, sondern auch die Geschäftswelt verändert. Zu den klassischen Produktionsfaktoren Arbeit, Boden und Kapital gesellt sich der Faktor Information und Wissen hinzu, dessen Bedeutung besonders bei innovativen, hochtechnologischen Produkten und Dienstleistungen immer mehr zunimmt.

Die Faktoren Information und Wissen gewinnen auch hinsichtlich der Bestimmung des Unternehmenswertes an Bedeutung. Der Unternehmenswert bemisst sich nicht mehr nur nach Substanz oder Ertrag, vielmehr spielen Informationen und Daten als „Währung des 21. Jahrhunderts“ eine immer entscheidendere Rolle1). Innovationskraft, Digitalisierung und das intelligente Management der Faktoren Information und Kommunikation sind wichtige Erfolgsfaktoren. Annähernd alle Geschäftsprozesse werden maßgeblich von den Faktoren Wissen, Information und Kommunikation beeinflusst. Sie sind daher auch ein entscheidender Wettbewerbsfaktor für das Unternehmen.

Anders herum kann die Kompromittierung oder der Verlust von Informationen und Wissen einen großen Schaden für das Unternehmen bedeuten, wie zahlreiche Beispiele in der Vergangenheit zeigen. Nach einer Selbsteinschätzung von Unternehmen dürfte allein durch Erpressung mit gestohlenen oder verschlüsselten Daten 2022 ein Schaden von 10,7 Mrd. Euro entstanden sein2).

Dies beweist, dass Information ein wichtiges, schützenswertes Gut ist, das als Erfolgsfaktor zu betrachten und entsprechend zu behandeln ist. Die Erfolgschancen von Unternehmen werden in Zukunft zunehmend davon abhängen, wie schnell und sicher Informationen beschafft, genutzt und verarbeitet werden können und ob mit Informationen als Geschäftswert sicher umgegangen wird. Den Schutz der Informationen zu organisieren und zu verantworten, ist primär Aufgabe der Unternehmensführung, die diese Aufgabe weiter delegiert. Je nach Struktur des Unternehmens landet das Thema im IT-Bereich, im GRC3)-Bereich oder in einer eigenen Stabsstelle für Informationssicherheit. Oft findet sich die Rolle des „Chief Information Security Officer“ (CISO) für die personelle Verantwortung. Im Titel dieses Buches wird der Begriff IT-Sicherheit verwendet, denn das Management der Informationssicherheit soll in diesem Buch in Verbindung mit der Informationstechnik behandelt werden. Aus diesem Grund wird im Folgenden für die verantwortliche Person im IT-Sicherheitsmanagement die Abkürzung ITSM verwendet, die für „IT-Sicherheitsmanagerin“ bzw. „IT-Sicherheitsmanager“ steht.

1.1	Das Wesen einer Information

Eine Information besteht im Wesentlichen aus zwei Komponenten:

1. Aussage (Datum). Der eigentliche Informationsinhalt. Beispiel: „Um 13:00 Uhr waren 8 Personen am System angemeldet.“ Es gibt Informationsaussagen, die nur in einem bestimmten Zusammenhang eine Aussage darstellen oder zu einem bestimmten Zeitpunkt gültig sind, zum Beispiel wie viele externe Mitarbeitende zur Zeit unter Vertrag stehen.

2. Neuigkeitswert. Eine echte Information ist nur dann gegeben, wenn das Datum vorher noch nicht bekannt ist. Ein bekanntes Datum informiert den Empfänger nicht (mehr).

Eine Information kann nach verschiedenen Merkmalen charakterisiert werden:

Form. Informationen können die unterschiedlichsten Formen besitzen. Die meisten Informationen im Geschäftsbereich sind visuell (Texte, Symbole, Grafiken, Bilder usw.) und auditiv (Sprache, Töne, Musik) bzw. eine Kombination aus beidem (z.B. Video). Informationen betreffen aber auch alle anderen Sinne. Ein Geruch, eine Gestalt, ein Geschmack oder ein Gefühl – alles kann Information sein.

Physischer Träger. Eine Information ist an keinen physischen Träger gebunden. So kann auch ein Gedanke oder ein Traum eine Information sein. Die Informationssicherheit konzentriert sich aber auf Informationen mit einem physischen Träger.

Das kann bei manuell erfassten Informationen ein Blatt Papier oder eine Karteikarte sein, bei elektronischen Informationen eine Datei auf einer Festplatte oder einem anderen Datenträger. Je nach Form der Information können auch Videobänder, Mikrofilme oder andere Medien angemessene Träger sein. Durch den Träger werden die Informationen speicherbar. Nicht speicherbare Informationen nennt man auch flüchtige Informationen.

Gerade elektronische Informationen können sehr schnell und beliebig oft kopiert und verbreitet werden. Traditionelle Schutzverfahren, die den physischen Träger schützen, sind daher nicht mehr ausreichend.

Zeitlicher Verlauf. Auch Informationen besitzen einen Lebenszyklus (Informationskreislauf) von der Entstehung bis zur „Entsorgung“. „Neue“ Informationen können einen erheblichen Wert darstellen, verlieren diesen Wert aber mehr oder weniger schnell. Eine Information sollte im Unternehmen nicht „einfach da“ sein, sondern aktiv über den gesamten Informationskreislauf hinweg gemanagt werden.

Das bedeutet, die Beschaffung, Speicherung, Wiederauffindung, Nutzung und Verarbeitung, Archivierung und Ausmusterung von Informationen zu organisieren. Es ist die Aufgabe des Informationsmanagements, hierfür Wege und Verfahren zu entwickeln.

Wahrheitsgehalt. Die Aussage einer Information kann wahr oder falsch und mehr oder weniger präzise sein. Dabei ergibt sich das Problem, dass Wahrheit oft ein vom jeweiligen Umfeld abhängiger relativer Begriff ist. Die Aussage „Die Erde ist eine Scheibe“ galt lange Zeit als wahr, bis sie widerlegt wurde. Zudem kann ohne Verifikation oft nicht sofort entschieden werden, ob eine Information wahr oder falsch ist. Dieses Problem stellt sich beispielsweise in den Nachrichtenmedien, wenn es darum geht, wie zuverlässig die Quelle einer Meldung ist.

In Bezug auf die Informationssicherheit ist es wichtig, dass der Wahrheitsgehalt einer Information nicht unerkannt veränder- bzw. manipulierbar ist, weil die Verbreitung oder Nutzung falscher Informationen für das Unternehmen einen großen Schaden nach sich ziehen kann.

Bedeutung für das Unternehmen. Informationen im Geschäftsumfeld sind von unterschiedlicher Bedeutung für das Unternehmen. Eine grobe Einteilung in vier Stufen ist möglich:

Information ist Geschäftsinhalt. Die größte Bedeutung ist gegeben, wenn die Information selbst den Geschäftszweck darstellt. Dies ist beispielsweise bei Nachrichtenmedien, Preisagenturen usw. der Fall. Die Information ist die Ware, die ich kaufe.

Information ist geschäftstragend. Eine geringere, aber dennoch recht große Bedeutung kommt Informationen zu, die für die Geschäftstätigkeit eine tragende Rolle spielen, beispielsweise eine Rezeptur für die Produktion einer Ware.

Information ist geschäftsunterstützend. Unter geschäftsunterstützenden Informationen versteht man Informationen, die nicht direkt die Wertschöpfungskette betreffen, für den geordneten Ablauf aber dennoch benötigt werden. Wartungsinformationen von Maschinen oder Auslastungsquoten von Unternehmensnetzwerken sind Beispiele dafür.

Information ist nebensächlich. In einem Unternehmen gibt es eine Fülle von Informationen, die für die Geschäftstätigkeit des Unternehmens nicht relevant, für die Belegschaft aber recht nützlich sind. Speisepläne der Werkskantine oder die Öffnungszeiten der Werksbibliothek gehören dazu.

Eine Ansammlung von Informationen zu einem bestimmten Thema wird mit dem Begriff Wissen beschrieben. Das Wissensmanagement (es findet sich auch oft die englische Bezeichnung Knowledge Management) nimmt in der Bedeutung für die Unternehmen zu. Es geht um die Fragen „Wie funktioniert etwas?“ (Methodenwissen), „Wie ist etwas?“ (Faktenwissen) und „Wie lässt sich das Wissen im Unternehmen sammeln, dokumentieren und verteilen?“.

Sie als ITSM müssen das Wesen der Informationen kennen, die Sie schützen wollen bzw. müssen. Es ist leicht nachvollziehbar, dass Informationen mit einem hohen Wert (z.B....

Produkt-Details

• Erscheint lt. Verlag: 8.4.2024
• Zusatzinfo: Illustrationen
• Verlagsort: München
• Sprache: deutsch
• Themenwelt: Informatik ► Netzwerke ► Sicherheit / Firewall
• Schlagworte: IT-Risikomanagement • IT-Security • IT-Sicherheit • IT-Sicherheitsmanagement • security • Sicherheit
• ISBN-10: 3-446-48168-0 / 3446481680
• ISBN-13: 978-3-446-48168-8 / 9783446481688