Managementhandbuch IT-Sicherheit: Risiken, Basel II, Recht [Gebundene Ausgabe]

Laut dem Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) sind Vorstände und Geschäftsführer von Kapitalgesellschaften persönlich für Versäumnisse und mangelnde Risikovorsorge in allen Unternehmensbelangen, und somit auch im Bereich der IT-Sicherheit, verantwortlich. Ein Delegieren der IT-Sicherheit an den Systemadministrator ist somit nicht mehr möglich. Auch von Wirtschaftsprüfern wird die IT-Sicherheit immer stärker in den Prüfungsprozeß einbezogen und IT-Risiken werden von den Banken bei der Kreditvergabe (Stichwort Basel-II) immer stärker berücksichtigt.

Dieses Buch widmet sich mittels Beiträge unterschiedlicher Autoren der IT-Sicherheit in Unternehmen. Im ersten Kapitel geht es um allgemeine Themen der IT-Sicherheit: Was sind IT-Risiken und welche Bedeutung hat die IT-Sicherheit im Gegensatz zum Kostenfaktor (Sicherheit versus Kostenreduktion). Gerade Basel-II spielt hier eine große Rolle, da bei einem schlechteren Rating der Unternehmen, z.B. aufgrund eines geringen IT-Sicherheitsniveaus, der Kredit umso teurer wird bzw. unter Umständen überhaupt nicht mehr gewährt wird. Das zweite Kapitel beschäftigt sich ausführlich mit dem Thema der Risiken der IT-Sicherheit und deren Identifikation, Analyse, Bewertung und Kontrolle. Auch hier wird noch einmal auf das Thema verwiesen, dass die IT-Sicherheit noch längst nicht in allen Unternehmen zur Chefsache erklärt worden ist und somit im Gegensatz zu den Bestimmungen des KonTraG steht, welches die Unternehmen dazu verpflichtet geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden" (Art.1 Zi.9 Lit.c KonTraG). Dies wird auch von Basel II gefordert, so dass ein Unternehmen über Statistiken, sowie historische Daten über Art, Umfang und Begleitumstände von IT-Störfällen und -Angriffen Auskunft geben kann. Der Autor geht hierbei auch kritisch auf das Problem der Bestimmung der Kostenwirksamkeit des IT-Sicherheitsmanagements (Return on Security Investment, ROSI) ein.

Kapitel drei beschäftigt sich ausführlich mit der optimalen Planung und der baulichen Ausführung von IT-Standorten nach EN 1047-2 und geht dabei u.a. auf die Themen wie Türen, Böden, Zugangssysteme, Brandschutz, Katastrophen-Handbuch ein. Das vierte Kapitel setzt sich mit dem Thema Verschlüsselung und -verfahren auseinander, während es im fünften Kapitel um Firewalls, Viren und den Schutz von Netzwerken geht. Beim nachfolgenden Kapitel über MSS (Managed Security Services) fand ich besonders die letzten Seiten interessant, das auf Themen wie die Gründe für MSS, Wirtschaftlichkeitsbetrachtung und Auswahlkriterien für einen MSS-Dienstleister (insbesondere Letzteres) eingingen.

Die beiden Kapitel administratives, sowie operatives IT-Risikomanagement beschäftigen sich besonders mit dem IT-Risikomanagement, welches - neben den tradionellen Unternehmenszielen - immer wichtiger wird, weil die Anforderungen an die Kontrollstrukturen aufgrund der bestehenden Gesetze, wie z.B. Sarbanes-Oxley Act (seit Juli 2002 werden CEOs und CFOs von Unternehmen, die an der US-Börse notiert sind, für fehlerhafte und falsche finanzielle Angaben und Berichte persönlich haftbar gemacht), BASEL II und das Datenschutzgesetz, immer mehr zunehmen. Die Kapitel Unternehmensweites Sicherheits-Management" und IT-Controlling mit Service Level Agreements SLA Performance Cycle" gehen ausführlich auf Themen wie Vulnerability Management (inklusive Patch Management), Security Information Management (inklusive Prozessmodell) und das Thema SLA und IT-Controlling mit SLA Performance Cycle ein.

Geradezu brisant sind die letzten Kapitel des Buches: Sehr gut und informativ fand ich das Kapitel Rechtliche Grundlagen und Anforderungen im Bereich IT-Sicherheit" von Dr. Joachim Schrey (gleichzeitg auch Herausgeber). Hier geht es um die Haftung des Arbeitnehmers (auch bei vorsätzlichem, grob, mittel und leicht fahrlässigem Verhalten) und entsprechende Haftungsbeschränkungen. Zudem geht es um die Haftung von IT-Verantwortlichen und wie diese sich per ausführlicher Dokumentation absichern können, wenn die Geschäftsleitung Vorschläge zur Absicherung des IT-Risikos ablehnt. Zudem gibt es noch ein sehr ausführliches Kapitel zum Thema Haftung der Geschäftsleitung. Auch auf die Haftung des betrieblichen Datenschutzbeauftragten wird eingegangen. Im darauf folgenden Kapitel von Isabel Münch, die als Referatsleiterin beim BSI (Bundesamt für Sicherheit und Informationstechnik) arbeitet, geht es um das IT-Grundschutzhandbuch. Sehr ausführlich und ergänzt um viele interessante Internetlinks zum Thema werden wichtige Punkte zum IT-Grundschutzhandbuch erläutert. Die letzten Kapitel widmen sich dann noch den Themen IT-Risikomanagement durch Risikotransfer, wo es um spezielle Versicherungen zur Absicherung von IT Risiken geht. Weitere Kapitel sind Beurteilung von IT-Risiken durch die Wirtschaftsprüfung", IT-Sicherheit und Basel II - Aufsichtsrechtliche Entwicklungen und Implikationen", sowie diverse Fallstudien zu den Themen: Brandschaden, Viren, Würmer und Trojaner und Ausfall der RZ-Klimatisierung.

Ein sehr interessantes Buch und hochaktuelles Buch. Klare Kaufempfehlung.

Das Buch von Torsten Gründer und Dr. Joachim Schrey zeigt detailliert und praxisrelevant die einzelnen Aspekte zum Thema IT-Sicherheit.

Die zentralen Risiken und verfügbaren Schutzmöglichkeiten im Bereich der IT-Sicherheit sind ebenso dargestellt wie die Möglichkeit, verbleibende Restrisiken auf eine Assekuranz zu übertragen. Dem Spannungsverhältnis Basel II und (IT-) Unternehmenssicherheit widmen die Autoren gesonderte Aufmerksamkeit. Anschauliche Fallstudien runden das Werk ab. D

as Managementhandbuch verhilft zu einem praxisnahen Umgang mit den zentralen Fragen der IT-Sicherheit in Unternehmen und Behörden.

Herausgegeben von Torsten Gründer und Dr. Joachim Schrey

mit Beiträgen von Dr. Manfred Bauer, Reinhard Bertram, Constanze Brand, Jörn Dierks, Dr. Gebhard Geiger, Prof. Dr. Rainer W. Gerling, Dr. Ulf Heil, Dr. Robert Heinrich, Axel Janßen, Hermann Kampffmeyer, Ewgenij Kaspersky, Isabel Münch, Christian Oecking, Christian Schauer, Mark Sunner, Ernö Szivek und Ralph Wölpert unter Mitarbeit von Anke Thomas.