IT Sicherheitsstrategie entwickeln: Ziele und Budget festlegen
Eine langfristige Richtung für IT-Sicherheit festlegen
Eine IT-Sicherheitsstrategie verbindet Geschäftsziele mit der Frage, welche Risiken das Unternehmen steuern muss und welche Fähigkeiten dafür benötigt werden. Sie legt Prioritäten für mehrere zusammenhängende Vorhaben fest. Einzelne technische Maßnahmen werden daraus abgeleitet, statt die Richtung allein durch verfügbare Produkte bestimmen zu lassen.
Am Anfang steht die Betrachtung wichtiger Dienstleistungen, Wachstumspläne und Abhängigkeiten. Ebenso ist zu klären, welche Auswirkungen das Unternehmen vermeiden muss und welche Risiken es innerhalb definierter Grenzen tragen kann.
Aus Zielen begründete Investitionsfelder ableiten
Eine Strategie sollte erkennen lassen:
- welche geschäftlichen Ergebnisse unterstützt werden;
- welche wesentlichen Risiken und Schwächen bestehen;
- welche organisatorischen und technischen Fähigkeiten fehlen;
- welche Vorhaben zuerst umgesetzt werden;
- welche Ressourcen und Entscheidungen erforderlich sind.
Ein Investitionsfeld kann beispielsweise die verlässliche Wiederherstellung, ein konsistentes Identitätsmanagement oder die bessere Steuerung externer Dienste betreffen. Der Nutzen wird anhand des jeweiligen Problems beschrieben.
Eine Roadmap mit Abhängigkeiten entwickeln
Beispiel: Ein Unternehmen will seine Dienste stärker aus der Cloud bereitstellen. Vor einer breiten Einführung werden Zuständigkeiten, Zugriffsverwaltung und Anforderungen an externe Anbieter vereinheitlicht. Erst darauf bauen weitere Automatisierung und Überwachung auf. Die Reihenfolge folgt damit den benötigten Voraussetzungen.
Fortschritt an Wirkung und Fähigkeiten messen
Die Zahl gekaufter Werkzeuge ist kein ausreichender Fortschrittsnachweis. Aussagekräftiger ist, ob beispielsweise kritische Dienste getestet wiederhergestellt werden können oder Berechtigungen zuverlässig bearbeitet werden.
Die Leitung bewertet regelmäßig, ob Prioritäten weiterhin zur Geschäftsentwicklung passen. Neue Anforderungen und Vorfälle können eine Anpassung nötig machen. Eine Strategie ist belastbar, wenn sie solche Entscheidungen ermöglicht und die begrenzten Mittel auf nachvollziehbare Ziele ausrichtet.
Die Priorisierung von Informationssicherheit im IT-Mittelstand verbindet Schutzwirkung und betriebliche Ressourcen. Einzelne Verbesserungen werden anschließend über den ISMS-Maßnahmenplan steuerbar gemacht.
Quellen und fachliche Grundlagen
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik
- BSI-Standard 200-3 – Risikomanagement – Bundesamt für Sicherheit in der Informationstechnik