IT-Risikomanagement für alle

Was ist IT-Risiko?

Als IT-Risiko gilt jedes Risiko, das mit dem Einsatz von Informationstechnologie verbunden ist und potenziell negative Auswirkungen auf das Geschäft eines Unternehmens haben kann.

Mit anderen Worten: Es betrifft die Verwundbarkeit unseres IT-Systems gegenüber internen oder externen Ereignissen, die Daten und Funktionen verändern, stehlen oder nicht verfügbar machen können.

Management des IT-Risikos

Aufgrund der unsicheren Natur und der ständigen Entwicklung der Technologie ist IT-Risikomanagement in jedem Unternehmen eine strategische Herausforderung. Vier Phasen lassen sich erkennen, die zyklisch umgesetzt werden müssen:

1. Risikoanalyse;
2. Implementierung von Verfahren;
3. Überwachung, Revision und Prüfung dieser Verfahren;
4. Korrektur der angewendeten Verfahren.

Zehn Grundregeln für das Management des IT-Risikos

Risk Management ist ein komplexes Thema, das nicht in einem einzigen Artikel vollständig behandelt werden kann. Wir können jedoch zehn Denkanstöße geben, die in Ihrer Strategie zur Analyse, Identifikation und Steuerung des IT-Risikos nicht fehlen dürfen.

1. Jeder IT-Prozess bringt Risiken mit sich. Für eine Bewertung von Vor- und Nachteilen jedes ermittelten Risikofaktors muss die Auswirkung folgender Punkte berücksichtigt werden:
   • Wiederherstellungskosten;
   • Down-Time-Kosten;
   • Imageschäden;
   • Prozessverzögerungen.
2. Der Disaster-Recovery-Plan. Für kleine und mittlere Unternehmen bedeutet das, immer eine oder mehrere Backup-Einheiten verfügbar zu haben, die regelmäßig aktualisiert und deren Funktion überprüft wurde. Wer möchte Ressourcen in ein Backup investieren, das nicht funktioniert?
3. Automatisches Update-Management. Systemupdates sind kein Ärgernis: Sie lösen konkrete Sicherheits- und Funktionsprobleme.
4. Basisschutz gegen Malware und Angriffe. Antivirus allein reicht gegen moderne Cyberangriffe nicht aus. Notwendig sind auch fortgeschrittene Firewalls, Antivirus für Web- und Mailverkehr, die Angriffe blockieren können, bevor sie Unternehmens-PCs erreichen.
5. Nicht zu viele Eier in einen Korb legen. Zu viele Daten, Anwendungen und Funktionen auf demselben System sind ein Wagnis. Besser ist es, das Risiko zu verteilen.
6. Bei fehlenden Ressourcen auf Cloud-Lösungen setzen. Es ist deutlich sicherer, Online-Dienste für E-Mail und Dokumentenablage zu nutzen als improvisierte "lokale" Lösungen. E-Mail und Netzwerk sind offene Türen für externe Eindringlinge in unser IT-System, lokal gespeicherte Daten sind eine zu verwaltende Last. Wenn Ressourcen fehlen, um selbst elementare Schutzmaßnahmen umzusetzen, ist es besser, vollständig auf externe Dienste zu setzen und auf jedem Rechner einen einfachen Antivirus zu verwenden.
7. Konfiguration und Wartung der Geräte sind nicht weniger wichtig als deren Vorhandensein. Viele glauben, der Kauf einiger Appliances oder Dienste löse jedes Problem. Verlassen Sie sich bei der Konfiguration auf echte Experten, nicht auf improvisierte Techniker.
8. Das Personal muss durch eine klare und präzise Policy zur Nutzung des IT-Netzwerks gebunden sein. Niemand ist ausgenommen, vom Manager bis zur Sekretärin.
9. Keine "Papiersicherheit" hinnehmen. Compliance, Gesetze und ISO-Standards sind als etwas Gutes und Positives gedacht; häufig macht erst die Art ihrer Umsetzung sie teuer, langweilig und nutzlos. Jeder internationale Sicherheitsstandard muss verstanden und intelligent auf die eigene Realität angewendet werden.
10. Einen Plan haben. IT-Sicherheit ist vor allem eine Frage der Kultur. Eine Managementfigur muss die Verantwortung übernehmen, Sicherheit im Unternehmen auf hoher Ebene zu denken und zu steuern. Und allen anderen erklären, warum sie wichtig ist und welche Rolle sie für das Gelingen des Plans haben.

IT-Risk-Management für alle

Große Unternehmen verfügen heute über professionelle Rollen, die ausschließlich für das IT-Risikomanagement zuständig sind. Sehr oft verursacht dies jedoch zu hohe Kosten für kleine und mittlere Unternehmen. Genau deshalb sind die Beratungslösungen von ISGroup und die punktuellen Sicherheitsprüfungen durch EasyAudit eine erfolgreiche Alternative für KMU.