Ratgeber
IT-Sicherheit

IT-Sicherheit wird an einem funktionierenden Arbeitsablauf messbar

Wenn die Auftragsbearbeitung nicht verfügbar ist, hilft ein eingeschalteter Server allein noch nicht weiter. Beschäftigte brauchen auch ihre Anmeldung, aktuelle Daten und die angeschlossenen Dienste. Diese Abhängigkeiten erklären, warum IT-Sicherheit mit einer Übersicht der geschäftlich wichtigen Abläufe beginnt. Erst daraus ergibt sich, welche Systeme betrachtet werden müssen und welche Ausfälle besonders schwer wiegen. Für einen Sicherheitscheck mit passendem Prüfumfang ist diese Frage wichtiger als die Länge des späteren Berichts.

Aus einem Befund wird erst dann eine Verbesserung, wenn jemand handeln kann. Ein veralteter Zugang verlangt beispielsweise eine technische Änderung und die fachliche Entscheidung, wer ihn noch benötigt. Deshalb muss ein umsetzbares Sicherheitskonzept Aufgaben zwischen Geschäftsführung, Fachbereich und IT zuordnen. „Beauftragt“, „umgesetzt“ und „überprüft“ sind dabei verschiedene Zustände.

Daten besitzen und Arbeit wiederaufnehmen sind unterschiedliche Ziele

Eine erfolgreiche Backup-Meldung zeigt zunächst, dass ein Sicherungsvorgang ausgeführt wurde. Ob der Betrieb damit weiterarbeiten kann, muss ein geplanter Wiederherstellungstest zeigen. Dafür sind zwei Fragen getrennt zu beantworten: Wie alt dürfen die wiederhergestellten Daten sein, und wie lange darf der Ablauf ausfallen? Häufige Sicherungen verkürzen nicht automatisch den Wiederaufbau von Anwendungen und Zugängen. Die Prüfung der Datensicherung verbindet diese Ziele mit einem fachlich kontrollierten Test.

Auch Erkennen und Reagieren sind getrennte Leistungen. Eine nachts versandte Warnung bleibt zunächst eine Nachricht, wenn niemand sie bewertet. Bei laufender Sicherheitsbetreuung müssen deshalb Meldewege, Vertretungen und Eingriffsbefugnisse zusammenpassen. Ein Dienstleister braucht eine klare Vereinbarung dazu, wann er selbst handeln darf und wann eine betriebliche Entscheidung notwendig ist.

Für einen Vorfall sollten diese Kontakte auch ohne die übliche E-Mail oder zentrale Anmeldung erreichbar sein. Eine kurze Übung zur IT-Notfallhilfe kann organisatorische Lücken aufdecken, ohne produktive Systeme abzuschalten. Die dabei erkannten Aufgaben lassen sich anschließend in eine Anfrage zur IT-Sicherheit übersetzen; ein laufender Vorfall gehört unmittelbar an den zuständigen Notfallkontakt.