Was ist ein IT-Sicherheitskonzept?

Die Ziele des IT-Sicherheitskonzeptes

Das übergeordnete Ziel eines IT-Sicherheitskonzeptes ist es, die Informationssicherheit im Unternehmen zu gewährleisten.

Dies beinhaltet verschiedene Teilziele:

Schutz vor unbefugtem Zugriff

Die IT-Systeme sowie die damit verwalteten Daten sollen vor unbefugtem Zugriff geschützt werden.
Gemeint sind konkret die folgenden Bedrohungen:

• Datendiebstahl durch Cyberangriffe
• Manipulation der IT-Systeme durch Unbefugte
• Industriespionage durch eigene Mitarbeitende
• Absichtliches oder versehentliches Öffnen von Sicherheitslücken (Angriffe von Außen nutzen beispielsweise fehlerhaft konfigurierte Software.)

Datenverlust verhindern

Je komplexer das IT-System wird, desto schwieriger wird es, eine vollständige Datensicherung zu gewährleisten. Eine Aufgabe des IT-Sicherheitskonzeptes liegt deshalb darin, die Grundsätze und Vorgehensweisen der Datensicherung festzulegen.
Gemeint sind Aspekte wie die folgenden:

• Wer ist für das Durchführen der Datensicherung verantwortlich?
• Wer kontrolliert die korrekte Datensicherung?
• Welche Datenspeicher werden gesichert? (Beispiel: Alle Server, alle Notebooks)
• Wie oft wird die Sicherung durchgeführt?
• Wie viele Kopien (Generationen) werden aufbewahrt?
• Usw.

Sicherstellen der Compliance

Regulatorische Vorschriften und übergeordnete Richtlinien des Unternehmens betreffen zunehmend auch die IT-Sicherheit.
Ein wichtiges Ziel des IT-Sicherheitskonzeptes ist es, die Compliance mit diesen Richtlinien zu unterstützen. 

Ein Beispiel dafür ist das Einhalten der Datenschutzvorschriften. Dazu später mehr.

Diese Bestandteile muss jedes IT-Sicherheitskonzept enthalten

Ein IT-Sicherheitskonzept besteht aus mehreren Teilen, die je nach Unternehmen individuell angepasst werden müssen:

1. Bestandsanalyse: Diese erfasst alle Assets wie Dokumente, Medien und andere schützenswerte Daten einschließlich der damit verbundenen Zugriffsrechte und stellt alles in einer übersichtlichen Liste zusammen. Diese Bestandsaufnahme ist der erste Schritt zur Identifizierung potenzieller Risiken.
2. IT-Strukturanalyse: Im zweiten Schritt gilt es, die Assets in eine Struktur zu bringen, welche die Geschäftsprozesse des Unternehmens abbildet. Auf diese Weise wird deutlich, wer für welche Assets verantwortlich ist und welchen Einfluss Sicherheitsprobleme auf die Geschäftsprozesse haben können.
3. Schutzbedarfsermittlung: Kein Unternehmen kann sämtliche Assets vollständig vor Risiken schützen. Um bei den Schutzmaßnahmen Prioritäten setzen zu können, wird ermittelt, wie hoch der Schutzbedarf der einzelnen Assets ist. 
4. Maßnahmenplanung und -umsetzung: Auf Basis der Risikoanalyse werden geeignete Sicherheitsmaßnahmen geplant und umgesetzt. Dies beinhaltet etwa die Implementierung von Sicherheitstechnologien, die Schulung von Mitarbeitern, Richtlinien und Kontrollen.
5. Notfallplanung: Ein Plan für den Umgang mit Sicherheitsvorfällen gehört ebenfalls ins IT-Sicherheitskonzept. Ziel ist es dabei, den Schaden kleinzuhalten und den normalen Betrieb so rasch wie möglich wiederherzustellen.