Ein IT-Sicherheitskonzept aufbauen: Vom Schutzbedarf zur Umsetzung

Den betrachteten Bereich abgrenzen

Beginnen Sie mit den Geschäftsprozessen, Anwendungen und Informationen, die betrachtet werden sollen. Erfassen Sie auch externe Dienste und Abhängigkeiten. Legen Sie fest, wer das Konzept fachlich verantwortet, wer Maßnahmen umsetzt und wer über Aufwand und verbleibende Risiken entscheidet.

Schutzbedarf verständlich beschreiben

Welche Folgen hätte es, wenn Informationen offengelegt, unbemerkt verändert oder zeitweise nicht verfügbar wären? Besprechen Sie diese Fragen mit den Fachbereichen. Ein Produktionssystem und eine öffentliche Produktbroschüre benötigen unterschiedliche Maßnahmen. Die Bewertung sollte die Entscheidungen begründen und für spätere Überprüfungen nachvollziehbar bleiben.

Risiken anhand Ihrer tatsächlichen Umgebung bewerten

Betrachten Sie beispielsweise gestohlene Zugänge, nicht gepflegte Systeme, versehentliches Löschen und den Ausfall wichtiger Dienstleister. Welche vorhandenen Maßnahmen begrenzen diese Risiken bereits? Wo fehlen Nachweise? Trennen Sie technische Befunde, Annahmen und offene Prüfaufträge.

Technik und Organisation zusammen planen

Zu den Maßnahmen können begrenzte Zugriffsrechte, geeignete Anmeldeverfahren, Updates, Netzwerkgrenzen und geschützte Sicherungen gehören. Ebenso wichtig sind Zuständigkeiten, Schulungen, Freigaben und Meldewege. Ein zusätzliches Produkt schließt eine organisatorische Lücke nicht automatisch.

Beispiel: Den Ausfall der Auftragsbearbeitung begrenzen

Fällt die Auftragsbearbeitung aus, können Erfassung, Lager und Versand gleichzeitig betroffen sein. Der Schutzbedarf ergibt sich aus diesen Abläufen. Die technische Bestandsaufnahme zeigt anschließend, welche Datenbank, Benutzeranmeldung, Schnittstellen und Sicherungen die Anwendung benötigt.

Daraus entstehen zusammenhängende Maßnahmen: Berechtigungen für die Anwendung begrenzen, administrative Zugänge absichern, Systeme pflegen und einen getesteten Wiederanlauf vorbereiten. Der Fachbereich beschreibt eine vorübergehende Ersatzarbeitsweise. Für jede Maßnahme wird festgelegt, wer sie umsetzt und woran ihre Wirksamkeit erkennbar ist. Das Beispiel zeigt, warum ein Sicherheitskonzept über eine Produktliste hinausgehen muss.

Einen realistischen Maßnahmenplan vereinbaren

Ordnen Sie Aufgaben nach Risiko, Aufwand und Abhängigkeiten. Benennen Sie Verantwortliche, Termine und ein überprüfbares Ergebnis. Für nicht sofort ablösbare Systeme können Übergangsmaßnahmen erforderlich sein. Ausnahmen und bewusst akzeptierte Risiken sollten ausdrücklich entschieden und später erneut betrachtet werden.

Wirksamkeit und Veränderungen überprüfen

Kontrollieren Sie, ob Maßnahmen tatsächlich umgesetzt wurden und ihren Zweck erfüllen. Neue Anwendungen, Standorte oder Dienstleister können eine Neubewertung auslösen. Ein Konzept ist deshalb ein gepflegtes Arbeitsmittel und keine einmalig abgelegte Vorlage.

Fachliche Unterstützung passend einbinden

anyWARE unterstützt bei Bestandsaufnahme und technischer Umsetzung. Mit unserer Beteiligung GINDAT verbinden wir diese Arbeit mit spezialisierter Beratung zu Datenschutz und dem Aufbau eines Informationssicherheitsmanagementsystems. Zuständigkeiten und die benötigte Prüftiefe werden zu Beginn festgelegt.