Informationssicherheit im IT-Mittelstand: Prioritäten und Budget
Sicherheitsinvestitionen nach geschäftlicher Bedeutung priorisieren
Im IT-Mittelstand sind Zeit und Budget begrenzt. Eine sinnvolle Sicherheitsplanung beginnt deshalb bei den Dienstleistungen, deren Ausfall oder Beeinträchtigung das Unternehmen besonders treffen würde. Erst danach wird entschieden, welche Lücken zuerst bearbeitet werden und welche Mittel dafür erforderlich sind.
Bestehende Schutzmaßnahmen werden einbezogen. Ein neues Produkt kann eine technische Lücke schließen, aber fehlende Zuständigkeiten oder ungeprüfte Abläufe bleiben dadurch möglicherweise bestehen.
Eine nachvollziehbare Entscheidungsgrundlage schaffen
Für wichtige Handlungsfelder helfen folgende Angaben:
- betroffene Dienstleistung und mögliche Folgen;
- vorhandener Schutz und bekannte Schwächen;
- erwartete Wirkung der vorgeschlagenen Verbesserung;
- einmaliger und laufender Aufwand;
- personelle Voraussetzungen und Abhängigkeiten.
Die Bewertung sollte auch berücksichtigen, ob das Team die Maßnahme nach ihrer Einführung dauerhaft betreiben kann. Ein komplexes Überwachungssystem ohne zuständige Auswertung kann zusätzliche Arbeit erzeugen, ohne den erwarteten Nutzen zu liefern.
Kapazitäten und Risiken gemeinsam betrachten
Beispiel: Ein Unternehmen schwankt zwischen einer neuen Sicherheitsplattform und der Verbesserung seiner Wiederherstellung. Ein Test zeigt, dass zentrale Kundendienste nach einem Ausfall nicht zuverlässig wiederhergestellt werden können. Diese Erkenntnis kann eine andere Priorität begründen als die ursprüngliche Produktplanung.
Eine Entscheidung sollte festhalten, welches Problem zuerst behandelt wird und welche Risiken vorerst verbleiben. So werden auch zurückgestellte Aufgaben sichtbar.
Den Einsatz der Mittel überprüfen
Nach der Umsetzung wird geprüft, ob die erwartete Wirkung eingetreten ist. Dazu werden vorab konkrete Kriterien vereinbart, etwa ein erfolgreich durchgeführter Wiederherstellungstest oder vollständig bearbeitete Zugriffskontrollen.
Regelmäßige Bewertungen helfen, Prioritäten bei Veränderungen anzupassen. Das Sicherheitsbudget ist damit an nachvollziehbare betriebliche Aufgaben gebunden und nicht allein an eine Liste technischer Anschaffungen.
Für die mehrjährige Ausrichtung hilft eine IT-Sicherheitsstrategie. Die Kostenplanung für ISO 27001 macht sichtbar, welche Aufwände aus dem Managementsystem, seiner Einführung und einer optionalen Zertifizierung entstehen.
Quellen und fachliche Grundlagen
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik
- BSI-Standard 200-3 – Risikomanagement – Bundesamt für Sicherheit in der Informationstechnik