Daten sind weit mehr als Nullen und Einsen - sie bilden heute einen Unternehmenswert. Um ihren Schutz zu gewährleisten, müssen Unternehmen den Umgang mit ihren digitalen Informationen neu justieren. Das verändert auch die Rolle des S&R-Chefs (Security and Risk).Die Analysten von Forrester Research raten in ihrem Papier "Top 15 trends S&R pros should watch" zunächst zu folgenden vier Maßnahmen:
Daten gehören in den Mittelpunkt: Weil Unternehmen ihre Daten immer besser vor Hackern und organisierten Banden schützen müssen, rücken die Daten selbst in den Mittelpunkt. Es geht also nicht mehr um den Blick auf das Netzwerk oder auf die Geräte oder die Nutzer. Unternehmen brauchen eine datenzentrierte Kultur.
Analytics als Sicherheitsinstrument: Viel wird über die Möglichkeiten gesprochen, mit Analytics das Kundenverhalten vorherzusagen oder neue Geschäftsfelder zu entdecken. Forrester betont, dass Analytics auch helfen sollen, Risiken vorherzusehen und Sicherheitsschwachstellen aufzudecken.
S&R-Chefs werden auch im Kundenmanagement eine größere Rolle spielen: Der Verlust von Kundendaten kann sich massiv auf das Image eines Unternehmens und damit auf seinen Wert auswirken. Deswegen müssen S&R-Chefs mit dem Marketing zusammenarbeiten.
Risikomanagement integrieren: Genauso wenig wie ein Unternehmen Daten-Silos braucht, braucht es Risiko-Silos. Die Einteilung in operative Risiken, Informationsrisiken, Verfügbarkeit, Disaster Recovery und andere Bereiche ist für die tägliche Arbeit sinnvoll, Unternehmen müssen dennoch einen integrierten Blick auf das Risikomanagement entwickeln.
In einem so gestalteten Umfeld skizziert Forrester die Arbeit eines Risiko- und Sicherheitsverantwortlichen. Die Trends und Herausforderungen, die seine Arbeit beeinflussen, fassen die Analysten in folgenden Punkten zusammen.
Neuer Blick aufs Risikomanagement
Wege der Erfolgsmessung überdenken: Vor einem Problem stehen S&R-Verantwortliche immer - das Ergebnis ihrer Arbeit lässt sich schwer messen. Üblicherweise konzentrieren sie sich beispielsweise auf Fragen nach der Zahl der Viren, die sie abfangen konnten, oder nach der Zahl der Patches.
Laut Forrester sollten sie sich vor allem um zwei Aspekte kümmern: Ist Malware ins Firmennetz hineingeraten - oder -hinaus? Wer diese Fragen nicht beantworten kann, dem nützen die besten Security-Tools nichts. In Sachen Security-Tools erwarten die Analysten, dass zunehmend intelligentere Sicherheitssoftware zur Marktreife gelangt.
File-Sharing und Collaboration nehmen zu: Die Diskussion um den Schutz geistigen Eigentums lässt Unternehmen genauer darauf achten, wie ihre Angestellten mit sensiblen Informationen umgehen. Im schlimmsten Fall - und der ist laut Forrester nicht selten - tragen sie solche Daten auf verschiedenen mobilen Geräten mit sich herum, auf die die IT-Abteilung keinen Zugriff hat. Da innerhalb der Unternehmen die abteilungs- und funktionsübergreifende Zusammenarbeit immer stärker verlangt wird, steigt auch das Risiko von Datenmissbrauch oder -verlust.
Datenverschlüsselung und das Management mobiler Geräte: Dieser Punkt resultiert aus verschiedenen Aspekten, etwa aus der wachsenden Beliebtheit von Laptop und Tablet gegenüber dem klassischen PC, wie auch aus dem "Bring Your Own Device"-Trend. Wichtig für S&R-Verantwortliche ist, dass immer mehr Daten auf mobilen Geräten liegen und über solche abgerufen werden. Sie müssen sich darum kümmern, diese Geräte und Daten zu verschlüsseln.
Traditionelle Antivirenlösungen können nicht gewinnen: Im Wettrennen Hacker gegen Sicherheitsanbieter werden die Anbieter immer hinterherlaufen. Es ist also nicht damit getan, stets die neuesten Versionen aufzuspielen.
Unbekannte Anwendungen entfernen
Um das Unternehmen zusätzlich zu schützen, sollten sich Security-Verantwortliche regelmäßig die Anwendungslandschaft ansehen. Alles, was nicht mehr gebraucht wird, und alles, was der Sicherheits-Chef nicht kennt, darf eliminiert werden. Ein Zusatznutzen besteht darin, dass das Netz entlastet wird.
Die Daten bekommen ein Gesicht: Die anschwellende Datenflut ist nur in den Griff zu kriegen, wenn S&R-Chefs die Daten klassifizieren. Ob das besser automatisiert geschieht oder manuell, da legt sich Forrester nicht fest.
Aus dem Umgang mit den Daten Schlüsse ziehen: Es ist möglich, aus der Art, wie ein Endanwender mit Daten umgeht, Profile zu erstellen. Weicht der Nutzer plötzlich von diesem Profil ab, kann das ein Hinweis auf Risiken sein. Forrester rät zu Tools, die diese Vorgänge monitoren und gegebenenfalls eingreifen.
Das Wissen über Bedrohungen wächst - die Handlungsfähigkeit nicht: Cyber-Kriminalität hat ihren Platz in den Medien gefunden, auch die Security-Anbieter berichten über neue Bedrohungen. Das heißt allerdings nicht unbedingt, dass Entscheider und Nutzer kompetenter werden im Umgang mit realen Gefahren.
Wer also für die Unternehmenssicherheit sorgen muss, kann eigentlich nur eines tun: fachlich versierte Mitarbeiter einstellen. Und darauf hoffen, dass Security-Anbieter immer bessere Tools offerieren.
Netzwerk- und Sicherheits-Chefs müssen zusammenrücken
Netzwerk- und Sicherheits-Chefs müssen zusammenrücken: Bis heute operieren Netzwerkverantwortliche und Sicherheits-Chefs für sich. Forrester hält das für falsch - je früher Netzwerk und Security zusammenrücken, desto besser. Aufgabe der Security-Fachleute ist beispielsweise das Entwickeln einer Policy. Das Netzwerkteam sorgt dann für deren Implementierung.
Die Menschen in den Mittelpunkt stellen: Dass die besten Sicherheitswerkzeuge scheitern, wenn die Nutzer sie nicht anwenden, ist bekannt. Forrester will aber weg von der rein negativen Sichtweise auf den Menschen. Es sei nicht damit getan, noch ein und noch ein Awareness-Training anzubieten. Vielmehr plädieren die Analysten für einen Kulturwandel, der jedem Mitarbeiter deutlich macht, wie wertvoll die Daten eines Unternehmens sind.
Es sind immer mehr Managed-Security-Services im Angebot: Das Konzept der Managed-Services erreicht das Thema Sicherheit. Grund dafür ist der Mangel an erfahrenen Praktikern. Forrester sagt dem Teilmarkt Managed-Security-Services in diesem Jahr ein Wachstum von 30 Prozent voraus.
Die Kommunikation rund um Sicherheitsvorfälle drängt Firmen in die Offensive - oder in die Defensive: Endverbraucher, Lobbyisten, Politiker - immer mehr Interessenten verlangen von Unternehmen Aufklärung über Security-Vorfälle. Einige Unternehmen werden solche Fälle von sich aus aktiv kommunizieren, bevor geschickte Anwender es tun. Andere werden versuchen, die Dinge herunterzuspielen.
Die positive Seite von Compliance
Forrester stellt eines klar: Jedes Unternehmen muss sich an Regularien und Compliance-Vorgaben halten. Keine Firma aber ist vor Angriffen gefeit. Je sauberer ein Unternehmen gearbeitet hat, umso leichter fällt der Gang an die Öffentlichkeit, wenn etwas passiert ist.
Nutzerauthentisierung muss zum Nutzer passen: Forrester hält Maßnahmen zur Nutzerauthentisierung für unabdingbar. Die Analysten warnen jedoch davor, den Anwender aus den Augen zu verlieren. S&R-Verantwortliche sollten wissen, wie und wo die Anwender arbeiten, welche Geräte sie nutzen und anderes mehr. Und: Tools zur Authentisierung müssen sich gut ins Back-End integrieren lassen.
Das Business hakt bei Social Media nach: Mit der Beliebtheit von Facebook steigt das Interesse der Geschäftsleitungen, aus Social Media Kapital zu schlagen. S&R-Chefs sollten sich daher mit den Fachbereichen Marketing und Kommunikation zusammensetzen. Als Sicherheitsverantwortliche müssen sie verstehen, wie ihr Unternehmen Social Media nutzen kann, um Risiken und Gefahren einschätzen zu können.
Anbieter versprechen bessere Risk-Management-Produkte: Dass Risiken nicht mehr schlicht abgewendet, sondern gemanagt werden, ruft Anbieter auf den Plan. Sie bringen Produkte mit immer mehr Business-Kontext auf den Markt. Forrester rät Entscheidern, genau hinzusehen.
Die Hausaufgaben in Sachen Risk Management
Bevor irgendein Risk Management Framework implementiert wird, sind erst einmal die Hausaufgaben zu erledigen. Das heißt: Rolle und Ziele des firmeneigenen Risikoverantwortlichen sind zu definieren, ebenso Definition und Kategorisierung der verschiedenen Risiken, Fragen der Erfolgsmessung und anderes.
Raus aus den Silos: So, wie Netzwerk- und Sicherheitschef besser zusammenarbeiten müssen, brechen Silo-Strukturen insgesamt auf, sagt Forrester. Das heißt: S&R-Chefs müssen sich zumindest so weit in alle Geschäftsprozesse einarbeiten, dass sie deren Gefahrenpotenzial identifizieren können. (hal)