Managementhandbuch IT-Sicherheit Risiken, Basel II, Recht

Laut dem Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) sind Vorstände und Geschäftsführer von Kapitalgesellschaften persönlich für Versäumnisse und mangelnde Risikovorsorge in allen Unternehmensbelangen, und somit auch im Bereich der IT-Sicherheit, verantwortlich. Ein Delegieren der IT-Sicherheit an den Systemadministrator ist somit nicht mehr möglich. Auch von Wirtschaftsprüfern wird die IT-Sicherheit immer stärker in den Prüfungsprozeß einbezogen und IT-Risiken werden von den Banken bei der Kreditvergabe (Stichwort Basel-II) immer stärker berücksichtigt. Dieses Buch widmet sich mittels Beiträge unterschiedlicher Autoren der IT-Sicherheit in Unternehmen. Im ersten Kapitel geht es um allgemeine Themen der IT-Sicherheit: Was sind IT-Risiken und welche Bedeutung hat die IT-Sicherheit im Gegensatz zum Kostenfaktor (Sicherheit versus Kostenreduktion). Das zweite Kapitel beschäftigt sich ausführlich mit dem Thema der Risiken der IT-Sicherheit und deren Identifikation, Analyse, Bewertung und Kontrolle. Der Autor geht hierbei auch kritisch auf das Problem der Bestimmung der Kostenwirksamkeit des IT-Sicherheitsmanagements (Return on Security Investment, ROSI) ein. Kapitel drei beschäftigt sich ausführlich mit der optimalen Planung und der baulichen Ausführung von IT-Standorten nach EN 1047-2 und geht dabei u.a. auf die Themen wie Türen, Böden, Zugangssysteme, Brandschutz, Katastrophen-Handbuch ein. Das vierte Kapitel setzt sich mit dem Thema Verschlüsselung und –verfahren auseinander, während es im fünften Kapitel um Firewalls, Viren und den Schutz von Netzwerken geht. Beim nachfolgenden Kapitel über MSS (Managed Security Services) fand ich besonders die letzten Seiten interessant, das auf Themen wie die Gründe für MSS, Wirtschaftlichkeitsbetrachtung und Auswahlkriterien für einen MSS-Dienstleister (insbesondere Letzteres) eingingen. Die beiden Kapitel administratives, sowie operatives IT-Risikomanagement beschäftigen sich besonders mit dem IT-Risikomanagement, welches - neben den tradionellen Unternehmenszielen - immer wichtiger wird. Die Kapitel „Unternehmensweites Sicherheits-Management“ und „IT-Controlling mit Service Level Agreements SLA Performance Cycle“ gehen ausführlich auf Themen wie Vulnerability Management (inklusive Patch Management), Security Information Management (inklusive Prozessmodell) und das Thema SLA und IT-Controlling mit SLA Performance Cycle ein. Geradezu brisant sind die letzten Kapitel des Buches: Sehr gut und informativ fand ich das Kapitel „Rechtliche Grundlagen und Anforderungen im Bereich IT-Sicherheit“ von Dr. Joachim Schrey (gleichzeitg auch Herausgeber). Hier geht es um die Haftung des Arbeitnehmers (auch bei vorsätzlichem, grob, mittel und leicht fahrlässigem Verhalten) und entsprechende Haftungsbeschränkungen. Zudem geht es um die Haftung von IT-Verantwortlichen und wie diese sich per ausführlicher Dokumentation absichern können, wenn die Geschäftsleitung Vorschläge zur Absicherung des IT-Risikos ablehnt. Zudem gibt es noch ein sehr ausführliches Kapitel zum Thema Haftung der Geschäftsleitung. Auch auf die Haftung des betrieblichen Datenschutzbeauftragten wird eingegangen. Im darauf folgenden Kapitel von Isabel Münch, die als Referatsleiterin beim BSI (Bundesamt für Sicherheit und Informationstechnik) arbeitet, geht es um das IT-Grundschutzhandbuch. Die letzten Kapitel widmen sich dann noch den Themen IT-Risikomanagement durch Risikotransfer, wo es um spezielle Versicherungen zur Absicherung von IT Risiken geht. Weitere Kapitel sind „Beurteilung von IT-Risiken durch die Wirtschaftsprüfung“, „IT-Sicherheit und Basel II – Aufsichtsrechtliche Entwicklungen und Implikationen“, sowie diverse Fallstudien zu den Themen: Brandschaden, Viren, Würmer und Trojaner und Ausfall der RZ-Klimatisierung.