Vom IT-Sichtfahrbetrieb zum sicheren IT-Linienbetrieb

Betrifft Umsetzung von IT-Sicherheit in Ihrem Unternehmen hauptsächlich kurzfristige Implementierung neuer regulatorischer bzw. gesetzlicher Anforderungen, akute Beseitigung unerwarteter Sicherheitslücken oder Reaktion auf unmittelbare Bedrohungslagen? Mit derartig drängenden Projekten sichern Sie schon einmal das kurzfristige Überleben in hoch digitalisierten Zeiten ab. Für eine tatsächlich und nachhaltig leistungsfähige Organisation ist aber noch ein weiterer Grundstein essenziell, der leider oft stiefmütterlich behandelt wird – nämlich die konsistente Überführung und kontinuierliche Integration von Cyber-Security-Themen in den IT-Linienbetrieb.

Dr. David Bauder und Dr. Moritz Pleintinger über "Vom IT-Sichtfahrbetrieb zum sicheren IT-Linienbetrieb".

Über die vordringlichen ad-hoc Aktionen hinaus kann eine fundierte Absicherung, solide Überwachung und echte Prävention nur mithilfe einer langfristigen IT-Sicherheitsstrategie erreicht werden, die auch effektiv und kontinuierlich über die IT-Linienorganisation abgebildet und gelebt wird. Um bei deren Aufstellung Erfolg und Kontinuität sicherzustellen, ist von Beginn an ein umfassender und systematischer Ansatz erforderlich, welcher den stetig wachsenden Bedrohungen und Sicherheitsanforderungen gerecht wird. Wichtige Orientierung bietet hierbei unser Dekalog für Sicherheit in der IT-Linienorganisation.

1 – Durchführen einer Bedarfsanalyse

Identifizieren Sie Sicherheitsanforderungen, potenzielle Bedrohungen und Compliance-Anforderungen, um einen fundierten Überblick zu erhalten. Dabei sind neben allgemeinen Sicherheitsanforderungen insbesondere branchenspezifische Regularien und gesetzliche Vorgaben (z.B. DSGVO, BaFin, DORA) sowie kritische Geschäftsprozesse und sensible Daten mit besonders hohem Schutzbedarf entscheidend.

2 – Entwicklung von Sicherheitsrichtlinien- und verfahren

Erstellen Sie interne Richtlinien und Verfahren, die den Unternehmenszielen entsprechen und alle relevanten Sicherheitsthemen (Datenzugriff, -verarbeitung, Passwortverwaltung, etc.)  abdecken. Diese sollten für eine möglichst breite Akzeptanz klar und verständlich formuliert sein. Darüber hinaus sollten sie regelmäßig aktualisiert werden, um auf neue Bedrohungen reagieren zu können.

3 – Strukturelle Definition der IT-Sicherheitsorganisation

Legen Sie Rollen und Verantwortlichkeiten für Mitarbeiter fest und gestalten sie eine solide Struktur aus drei Verteidigungslinien. In der First Line of Defense (1st LoD) liegt die operative Umsetzung der Sicherheitsrichtlinien. Die Second Line of Defense (2nd LoD) unterstützt und überwacht die operativen Einheiten. Darüber bildet die Third Line of Defense (3rd LoD) die übergeordnete Prüfinstanz.

4 – Schulung bzw. Einstellung von Personal

Starten Sie mit Sicherheitsexperten mit spezifischem Fachwissen (z.B. Penetration Testing, Incident Response, IT Security Awareness) und schulen Sie vorhandenes Personal bzgl. Security-Awareness, um die Sicherheitsstrategie effektiv umzusetzen zu können. Ein regelmäßiges Schulungskonzept sollte etabliert werden, um das Sicherheitsbewusstsein bei der IT-Nutzung nachhaltig zu fördern

5 – Implementierung neuer Technologien

Investieren Sie in Sicherheitstechnologien wie Firewall, Intrusion Detection Systems, Verschlüsselungstools oder Antivirensoftware, die den Bedürfnissen des Unternehmens entsprechen. Grundlagen hierfür liefern die Bedarfsanalyse sowie die Berücksichtigung der vorhandenen IT-Infrastruktur. Zusätzlich sind Test- und Pilotphasen sinnvoll, um die Integration abzusichern.

6 – Überwachung des Betriebs

Richten Sie Mechanismen zur kontinuierlichen Überwachung von Prozessabläufen und Technologien ein. Hierfür sind aussagekräftige Kennzahlen und Reporting-Formate zu etablieren, um ein zielgerichtetes Monitoring zu erreichen. In der Umsetzung kann ein Security Operations Center (SOC) zentral sein, um Sicherheitsereignisse rund um die Uhr zu überwachen und zu analysieren.

7 – Entwerfen von Reaktionsplänen auf Vorfälle

Definieren Sie klare, strukturierte Pläne zur Reaktion im Fall eines Sicherheitsvorfalls. Diese Pläne sollten detaillierte Eskalationsprozesse, transparente Kommunikationswege sowie klare Verantwortlichkeiten für verschiedene Szenarien wie Datenlecks, Cyberangriffe oder Systemausfälle festlegen und regelmäßig durch Simulationen getestet werden.

8 – Durchführung regelmäßiger Audits und Überprüfungen

Implementieren Sie einen Prozess für regelmäßige Sicherheitsaudits, um Effektivität der Sicherheitsmaßnahmen sicherzustellen und sich der Bedrohungslage anzupassen. Der Fokus liegt hier auf der strukturierten Vorbereitung auf Prüfungen durch die 3rd LoD, etwa interne Revision oder externe Prüfer.

9 – Auf- und Ausbau von Partnerschaften

Wägen Sie ab, ob sie sicherheitsrelevante Lösungen intern entwickeln oder auf bewährte Expertise externer Partner setzen sollten. Externe Sicherheitsdienstleister und Branchennetzwerke bieten oft spezialisierte Lösungen und wertvolle Einblicke, wodurch auf erprobte Best Practices zurückgegriffen werden kann, um kosteneffizient und schnell auf Bedrohungen zu reagieren.

10 – Treiben Kontinuierlicher Verbesserung

Implementieren Sie einen Prozess zur kontinuierlichen Verbesserung hinsichtlich Reduktion von Sicherheitsvorfällen, Eindämmen von Vorfällen und Geschwindigkeit bei Reaktionen. Mit einer systematischen Analyse von Vorfällen und deren Ursachen können Schwachstellen identifiziert und so Sicherheitsrichtlinien zielgerichtet überarbeitet werden, um zukünftige Angriffe zu verhindern.

Mit konsequenter Berücksichtigung dieser Kernpunkte gelingt der Wechsel von einem reaktiven zu einem proaktiven Ansatz im Bereich Cybersecurity; nur so kann zuverlässig gewährleistet werden, dass die sich ständig weiterentwickelnden Bedrohungen effektiv bewältigt werden. Durch die Etablierung einer starken Linienorganisation für IT-Sicherheit kann Ihr Unternehmen eine solide Struktur schaffen, um Sicherheitsrisiken frühzeitig zu erkennen, angemessen darauf zu reagieren und ihre Resilienz-Mechanismen kontinuierlich zu stärken. Mit Blick auf die strategische Positionierung des gesamten Unternehmens ist damit letztlich auch eine kulturelle Transformation vom bisher traditionellen IT-Sichtfahrbetrieb hin zu einem sicheren IT-Linienbetrieb unumgänglich.

Eine umfassende Umsetzung der genannten zehn Eckpfeiler bedeutet eine weitreichende Transformation, die sich zweifellos ebenso ambitioniert wie notwendig darstellt. Gerne unterstützen wir Sie bei diesen entscheidenden Schritten und begleiten Sie auf Ihrem Weg in Richtung einer festen Verankerung von Cybersecurity in Ihrer IT-Linienorganisation. Kontaktieren Sie uns gerne für weitere Fragen oder einen Austausch zu diesem wichtigen Thema.