Einsatz von Kennzahlensystemen
Aufbau und Einsatz von Kennzahlensystemen als fundiertes Management-Tool
Compliance: auswerten und richtige Konsequenzen ziehen
(18.10.06) - Rund 7,4 Milliarden Dollar weltweit wurden einer Untersuchung von Gartner zufolge allein im vergangenen Jahr mit IT-Security-Software umgesetzt - und damit knapp 15 Prozent mehr, als in 2004. Dabei wird dieses beeindruckende Wachstum am Markt für Sicherheitslösungen nicht allein durch Viren, Trojaner und Spyware getrieben. Auch die Befürchtung, nicht mit Compliance-Vorgaben konform zu gehen und sich möglicherweise strafbar zu machen, wenn nicht ausreichend geschützte Geschäftsdaten in falsche Hände geraten, lassen die Unternehmen für die Anschaffung oder den Ausbau ihrer Security-Vorrichtungen tief in die Kasse greifen.
"Doch ob diese Investitionen tatsächlich sinnvoll und lohnend sind, bleibt den meisten Unter-nehmenslenkern verborgen", weiß Uwe Maurer, Senior Consultant und Security Management-Experte bei der Ismaninger Integralis Deutschland, aus zahlreichen Projekten. "Denn nur, wer die Funktionalität und Zuverlässigkeit seiner Security-Umgebung auch messen kann, kann sie sinnvoll nutzen und managen. Diese Messbarkeit aber ist in den wenigsten Fällen gegeben, es fehlt fast immer das hierfür erforderliche Kennzahlensystem."
Transparenz nur mit Kennzahlen möglich
In der Folge haben Manager und IT-Verantwortliche weder ausreichenden Überblick über das aktuelle Sicherheitsrisiko für ihre Geschäftsinformationen, noch können sie die Effizienz bereits getätigter Investitionen und getroffener Sicherheitsmaßnahmen tatsächlich bemessen. Gleichzeitig lastet durch immer neue Compliance-Anforderungen und damit einhergehende Haftungsrisiken die Verantwortung für die Sicherheit und Verfügbarkeit der Firmendaten zunehmend und direkt auf den Schultern der Geschäftsverantwortlichen.
"Die Schutzmaßnahmen für Unternehmensdaten sind daher nicht allein Sache der IT, sondern auch Aufgabe des Managements", erläutert Maurer. "Doch Management ohne Transparenz ist unmög-ich. Und diese Transparenz ist aufgrund der Vielzahl von Informationen, die für das IT-Security-Management berücksichtigt werden müssen, nur mit einem entsprechenden Kennzahlensystem möglich."
Hierfür liefern in den meisten Fällen die vorhandenen IT-Systeme bereits eine große Menge von Zahlen und Informationen, die dann auf sinnvolle Weise gesammelt, aggregiert und in einem Kennzahlensystem zusammengeführt werden. Nur so können zuverlässige IT-Security-Informationen bereitgestellt werden, die zum Beispiel nachvollziehbare Vergleiche anstellen sowie Entwicklungen erkennen lassen, die dem Manager eine fundierte Beurteilung der Systemeffizienz erlauben.
Nachweis der Konformität mit aktuellen Compliance-Anforderungen
Auch für den Nachweis der Konformität mit aktuellen Compliance-Anforderungen - der von den zuständigen Prüfstellen jederzeit eingefordert werden kann - ist ein aussagekräftiges Kennzahlensystem unabdingbar. Richtlinien und Prüfer fordern die konsequente Umsetzung der geeigneten Maßnahmen für die IT-Security. Mit einem aussagekräftigen Kennzahlensystem können die entsprechenden Informationen umgehend geliefert und für einen effizienten Managementprozess verwendet werden. Ergibt die Auswertung, dass bestimmte Sollvorgaben nicht erfüllt werden, kann das Management auf Basis solider Messwerte sofort die richtigen Konsequenzen ziehen und gegebenenfalls dem Wirtschaftsprüfer seine Investitionen in eine mess- und kontrollierbare IT-Security fundiert begründen.
Sicherheit ist so ein Gefühl
Eine der wichtigsten Kontrollstellen für die Effizienz der IT-Security ist beispielsweise das Schwachstellen- und Patch-Management. Auf Basis von Kennzahlen aus diesem Bereich ist sowohl für die IT-Abteilung als auch für das Management schnell ersichtlich, ob und wie effizient diese Lösung für das Unternehmen funktioniert: Sind hier Verbesserungen erzielt worden? Arbeiten nun einzelne Teams vergleichsweise effektiver? Wie gut ist die aktuelle Situation der Schwach-stellen bei den kritischen Systemen?
Praktisch per Knopfdruck lassen sich diese und andere Fragen auf Basis konkreter Zahlen beantworten und verständlich darstellen. "Sicherheit ist für die meisten von uns so ein Gefühl", so der Kennzahlenexperte Uwe Maurer von Integralis, "das nicht einfach zu definieren ist. In der IT hat dieses Gefühl wenig Platz und wir würden uns freuen, wenn es uns gelingt, bei unseren Kunden durch die Schaffung fundierter Kennzahlensysteme dieses unbestimmte Gefühl durch messbares, effizientes Security Management zu ersetzen." (Integralis: ra)
Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>