Wozu muss man einen IT-Sicherheitsbeauftragten (ISB) benennen?

IT-Sicherheitsbeauftragte oder Informationssicherheitsbeauftragte verringern das Risiko von Datenverletzungen und Angriffen auf IT-Systeme. Er legt Kontrollmaßnahmen an und wirkt mit der IT-Abteilung darauf hin, dass notwendige technische Maßnahmen umgesetzt werden. Mit vielen Maßnahmen soll der unbefugte Zugriff auf sensible Informationen verhindert werden. Auch soll verhindert werden, dass eine Unterbrechung von Diensten, z. B. durch Denial-of-Service-Angriffe, die unternehmensinternen Infrastrukturen unterbrochen werden.

Was ist IT-Sicherheit?

IT-Sicherheit ist eine Reihe von Cybersicherheitsstrategien, die den unbefugten Zugriff auf Unternehmensressourcen wie Computer, Netzwerke und Daten verhindern. Sie bewahrt die Integrität und Vertraulichkeit sensibler Informationen und blockiert den Zugang raffinierter Hacker.

Was ist der Unterschied zwischen IT-Sicherheit und Informationssicherheit?

Obwohl IT-Sicherheit und Informationssicherheit ähnlich klingen, beziehen sie sich auf unterschiedliche Arten von Sicherheit. Die Informationssicherheit bezieht sich auf die Verfahren und Instrumente zum Schutz sensibler Geschäftsinformationen vor Angriffen, während sich die IT-Sicherheit auf die Sicherung digitaler Daten durch die Sicherheit von Computernetzen bezieht.

Wie kann ich von der IT-Sicherheit profitieren?

Die IT-Sicherheit soll in erster Linie bösartige Bedrohungen und potenzielle Sicherheitsverletzungen, die große Auswirkungen auf Ihr Unternehmen haben können verhindern. Wenn Hackergruppen versuchen in Ihr internes Unternehmensnetzwerk einzudringen, sorgt die IT-Sicherheit dafür, dass die Angriffe erkannt und Gegenmaßnahmen getroffen werden können. Nur befugte Benutzer sollten auf sensible Informationen zugreifen und daran Änderungen vornehmen können. Die IT-Sicherheit gewährleistet die Vertraulichkeit der Daten Ihres Unternehmens.

Arten der IT-Sicherheit

• Sicherheit von Netzwerken
• Sicherheit im Internetzugängen
• Sicherheit von stationären Endgeräten
• Sicherheit von mobilen Endgeräten
• Cloud-Sicherheit
• Sicherheit von Anwendungen und Softwareprogrammen

Aufgaben und Zuständigkeiten des Informationssicherheitsbeauftragten (ISO)

Informationssicherheitsbeauftragte legen Sicherheitsrichtlinien und Leitlinien fest und setzen sie durch, um die Computerinfrastruktur, die Netzwerke und die Daten eines Unternehmens zu schützen. Sie spielen eine wichtige Rolle beim Schutz einer Organisation, da eine Verletzung der Informationssicherheit zu einer Unterbrechung des Geschäftsbetriebs, zum Verlust vertraulicher oder wirtschaftlich sensibler Daten und zu finanziellen Verlusten führen kann. Sicherheitsverletzungen können verschiedene Formen annehmen, z. B. Angriffe von Cyberkriminellen, Virenangriffe und Versuche von Unbefugten innerhalb und außerhalb des Unternehmens, an Passwörter oder persönliche Daten zu gelangen.

IT- und Infrastruktur-Planung

Ein großer Teil der Arbeit von Sicherheitsbeauftragten für Informationssysteme besteht in der Planung. Sicherheitsbeauftragte bewerten die Infrastruktur und die Daten ihrer Organisation, um Schwachstellen zu ermitteln, die durch Schwachstellen oder Fehler in Software und Hardware verursacht werden und die Infrastruktur einem Sicherheitsverstoß aussetzen könnten.
Sie bewerten auch die Wirksamkeit bestehender Sicherheitsmaßnahmen wie Firewalls, Passwortrichtlinien und Systeme zur Erkennung von Eindringlingen. Auf der Grundlage ihrer Bewertungen und ihrer Kenntnisse über aktuelle und neu auftretende Bedrohungen geben sie Empfehlungen zur Verbesserung der Sicherheit.

Aufgaben des IT-Sicherheitsbeauftragten (ISB)

• Identifizierung und Entwicklung von Bereichen, in denen Richtlinien und Verfahren für die Informationssicherheit erstellt oder aktualisiert werden müssen; Absprache mit der Geschäftsleitung, Entwicklern, Prüfern, Einrichtungen und anderen Mitarbeitern der Geschäftseinheit zur Identifizierung und Sicherung von Daten, Softwareanwendungen, Hardware, Telekommunikation und Computeranlagen.
• Planen, Entwerfen und Prüfen von Richtlinien und Verfahren, die die Integrität von und den Zugriff auf Systeme und elektronische Informationen schützen, um Informationen vor versehentlicher oder unbefugter Änderung, Zerstörung oder Offenlegung zu bewahren.
• Durchführung von Risikobewertungen und Sicherheitseinweisungen in Bezug auf Sicherheitsfragen; Verwaltung von Programmen und Aktivitäten zur Sensibilisierung für IT-Sicherheit und Beratung von Ressourcenbesitzern bei der Entwicklung geeigneter Sicherheitsrichtlinien.
• Aufklärung, Sensibilisierung und Schulung der gesamten Belegschaft.
• Strategische Ausrichtung des gesamten Sicherheitsprogramms zur Verbesserung der Informationssicherheitslage und des Sicherheitsniveaus der Organisation.
• Unterstützung bei der Festlegung eines klar definierten und dokumentierten Umfangs, der Ziele, der Vorgehensweise, der Pläne und des Ressourcenbedarfs.
• Leitung anderer Mitarbeiter bei der Programmgestaltung und bei der Durchführung von Initiativen, Programmen oder Projekten zur Erreichung dieser Management- und Geschäftsziele.
• Durchführung regelmäßiger Bewertungen und regelmäßiger Überwachung der Kontrollen und Praktiken der Informationssicherheit auf dem Campus, um die Einhaltung der Kundenpolitik und der gesetzlichen Vorschriften zu gewährleisten.
• Abgabe von Empfehlungen zur Verbesserung der Kontrollen und Praktiken, um Risiken im Zusammenhang mit der Informationssicherheit zu verringern.
• Teilnahme an der Überprüfung und Analyse von Sicherheitsprodukten und -dienstleistungen und Abgabe von Empfehlungen auf der Grundlage der Bedürfnisse der Kundengemeinschaft.
• Mithilfe bei der Entwicklung und Pflege von Service Level Agreements und Operating Level Agreements.
• Durchführung von Bewertungen der Schwachstellen des Netzes
• Mithilfe bei der Verwaltung des ITS-Richtlinienportfolios.
• Kann gelegentlich die Rolle des Projektleiters übernehmen.
• Sonstige Aufgaben nach Bedarf.

Aufgaben des Informationssicherheitsbeauftragten (ISO)

Die ISO hat ein breites Spektrum von Aufgaben im Unternehmen. Diese variieren je nach Größe des Unternehmens und der Organisation. Der Informationssicherheitsbeauftragte ist im Wesentlichen für den gesamten Aufbau des ISMS und in diesem Rahmen für die Festlegung und Abstimmung der Informationssicherheitsziele mit der Geschäftsleitung verantwortlich. Er sollte sich idealerweise an den Anforderungen der ISO: 27001 orientieren. Er ist verantwortlich für alle Aktivitäten, die zur Einrichtung, Umsetzung und Aufrechterhaltung des ISMS erforderlich sind. Er berichtet direkt an die Geschäftsleitung über den Stand des ISMS. Der ISO gewährleistet die Umsetzung von Verbesserungsmaßnahmen auf der Grundlage der festgestellten Schwachstellen. Er schafft ein organisationsweites Bewusstsein für die Informationssicherheit.

Vorfälle im Bereich der Informationssicherheit werden dem ISO gemeldet, analysiert und zeitnah mit Sicherheitsmaßnahmen hinterlegt und umgesetzt. Die Zustimmung der Geschäftsleitung ist erforderlich. Die kontinuierliche Pflege, die Überprüfung aller Dokumente und die ständige Aktualisierung der Informationssicherheitslinien stellen die Grundlage für ein erfolgreiches ISMS Ihres Unternehmens und damit auch für das Erreichen der ISO: 27001 oder TISAX®-Zertifizierung dar. Der ISO muss ein Bewusstsein für Informationssicherheit schaffen.

Der ISO ist der erste Ansprechpartner für alle Fragen der Informationssicherheit. Er unterstützt und berät die Geschäftsleitung und alle Geschäftsbereiche in Fragen der Informationssicherheit. Er unterstützt den Risikomanager oder nimmt diese Funktion selbst wahr und überprüft regelmäßig die Ergebnisse der Risikobewertung. Lesen Sie dazu auch den Artikel “ISMS – einfach erklärt, Teil 2: Risikomanagement als wesentlicher Bestandteil des ISMS”.

Was sind (CISOs) – Aufgaben und Verantwortlichkeiten?

Der Chief Information Security Officer (CISO) ist die Führungskraft, die für die Informations- und Datensicherheit eines Unternehmens verantwortlich ist. Während die Rolle in der Vergangenheit eher eng definiert wurde, wird der Titel heute oft mit CSO und VP of Security gleichgesetzt, was auf eine umfassendere Rolle im Unternehmen hinweist.

Nicht jedes Unternehmen hat einen Sicherheitsbeauftragten auf höchster Ebene: Laut der IDG-Studie “Sicherheitsprioritäten 2020”
haben 61 % der befragten Unternehmen eine solche Führungskraft, wobei dieser Anteil bei großen Unternehmen auf 80 % ansteigt. Aber in Unternehmen, die eine solche Führungskraft beschäftigen, spielen sie eine wichtige Rolle: Dieselbe Studie ergab, dass Unternehmen ohne CISO oder CSO häufiger angaben, dass die Sicherheitsschulung ihrer Mitarbeiter unzureichend und ihre Sicherheitsstrategie nicht proaktiv genug sei, als Unternehmen mit einem solchen Verantwortlichen.

Ambitionierte Sicherheitsexperten, die die Karriereleiter erklimmen wollen, haben vielleicht eine CISO-Position im Visier. Werfen wir einen Blick darauf, was Sie tun können, um Ihre Chancen auf diese Stelle zu verbessern, und was Ihre Aufgaben sind, wenn Sie diese wichtige Rolle bekommen. Und wenn Sie in Ihrem Unternehmen zum ersten Mal einen CISO einstellen möchten, sollten Sie ebenfalls weiterlesen.

CISO-Verantwortlichkeiten

Was ist die Aufgabe eines CISO?

Der beste Weg, den Job des CISO zu verstehen, besteht vielleicht darin, zu erfahren, welche alltäglichen Aufgaben in diesen Bereich fallen. Auch wenn kein Job dem anderen gleicht, hat Stephen Katz, der in den 90er Jahren bei der Citigroup Pionierarbeit in der Rolle des CISO geleistet hat, in einem Interview mit MSNBC die Aufgabenbereiche von CISOs umrissen. Er unterteilt diese Aufgaben in die folgenden Kategorien:

• Sicherheitsmaßnahmen: Echtzeit-Analyse von unmittelbaren Bedrohungen und Triage, wenn etwas schief läuft
• Cyber-Risiko und Cyber-Intelligenz: Behalten Sie den Überblick über sich entwickelnde Sicherheitsbedrohungen und helfen Sie dem Vorstand, potenzielle Sicherheitsprobleme zu verstehen, die sich aus Übernahmen oder anderen großen Geschäftsvorgängen ergeben könnten
• Schutz vor Datenverlusten und Betrug: Sicherstellen, dass interne Mitarbeiter Daten nicht missbrauchen oder stehlen
• Sicherheitsarchitektur: Planung, Kauf und Einführung von Sicherheitshardware und -software und Sicherstellung, dass die IT- und Netzwerkinfrastruktur unter Berücksichtigung der besten Sicherheitspraktiken entwickelt wird
• Identitäts- und Zugriffsmanagement: Sicherstellen, dass nur autorisierte Personen Zugang zu eingeschränkten Daten und Systemen haben
• Programm-Management: Den Sicherheitsbedürfnissen voraus sein, indem Programme oder Projekte zur Risikominderung implementiert werden, z. B. regelmäßige System-Patches
• Ermittlungen und Forensik: Ermitteln, was bei einer Sicherheitsverletzung falsch gelaufen ist, Umgang mit den Verantwortlichen, wenn es sich um interne Personen handelt, und Planung zur Vermeidung von Wiederholungen derselben Krise
• Steuerung: Sicherstellen, dass alle oben genannten Initiativen reibungslos ablaufen und die erforderliche Finanzierung erhalten – und dass die Unternehmensführung ihre Bedeutung versteht

Wenn Sie tiefer eintauchen möchten, lesen Sie das Whitepaper von SANS, “Mixing Technology and Business: The Roles and Responsibilities of the Chief Information Security Officer”.

Ein weiterer wichtiger Hinweis:
Die meisten dieser Aufzählungspunkte gelten für die IT-Sicherheit. Für viele Top-Sicherheitsverantwortliche geht ihr Auftrag jedoch über Server und PCs hinaus und erstreckt sich auch auf die physische Sicherheit, um sicherzustellen, dass die Büros und physischen Anlagen ihrer Unternehmen vor Eindringlingen geschützt sind. Laut der IDG-Studie “Sicherheitsprioritäten 2020” geben 42 % der Top-Sicherheitsverantwortlichen an, dass sie in den letzten drei Jahren zusätzliche Aufgaben im Bereich der physischen Sicherheit übernommen haben – und weitere 18 % erwarten, dass sie diese Aufgabe in den nächsten 12 Monaten übernehmen werden.

Welche 3 Arten von CISO gibt es?

Der CISO von heute:

Die drei Persönlichkeitstypen – technisch, geschäftlich und strategisch

• Der technische Beauftragte für Informationssicherheit
• Der Beauftragte für die Sicherheit von Geschäftsinformationen
• Der strategische Beauftragte für Informationssicherheit

Was ist der Unterschied zwischen einer ISO und einem CISO?

Nun, einfach ausgedrückt gibt es eigentlich keinen Unterschied. Früher hatte der ISO (Information Security Officer) diese Rolle inne. Aber vor kurzem kam die FFIEC heraus und sagte, dass dies eigentlich der Chief Information Security Officer sein müsste. Aus diesem Grund verwenden wir diese Bezeichnung. In einigen größeren Organisationen gibt es vielleicht einen Chief Information Security Officer und Information Security Officers, die ihm unterstellt sind.

Wie können Sie Ihre Informationssicherheit im Jahr 2021 verbessern und wie können Sie Ihre Probleme lösen?

Der Schutz Ihres Unternehmens vor Cyberangriffen kann sich manchmal wie ein nicht enden wollendes Spiel mit der Sicherheit anfühlen. Kaum hat man eine Schwachstelle beseitigt, taucht eine neue auf. Das kann ein Unternehmen demoralisieren und es glauben lassen, dass gute Informationssicherheitspraktiken unmöglich sind. Es gibt jedoch eine Lösung – aber sie erfordert eine andere Denkweise.
Unternehmen müssen aufhören, jede einzelne Bedrohung zu betrachten, und stattdessen eine Abwehr aufbauen, die für alles gerüstet ist, was Cyber-Kriminelle anrichten können. Das ist einfacher, als es klingt. Denn so sehr sich die Taktiken der Cyberkriminellen auch weiterentwickeln, so sehr folgen sie doch in der Regel der gleichen grundlegenden Methodik.

Wenn Ihre Sicherheitsmaßnahmen die Art und Weise berücksichtigen, wie Sie angegriffen werden, und nicht nur bestimmte Angriffsformen, können Sie sich wirksam gegen eine Vielzahl von Angriffen schützen. In diesem Beitrag stellen wir Ihnen fünf Maßnahmen vor, die Sie ergreifen können, um Ihren Ansatz zur Informationssicherheit zu verbessern.

• Unterstützung von Cybersicherheitspersonal
  Als Erstes müssen Sie sicherstellen, dass Ihr Cybersicherheitspersonal die nötige Unterstützung erhält.
  Sicherheitsteams haben oft das Gefühl, dass ihnen nicht genügend Budget zur Verfügung gestellt wird oder dass die Führungskräfte kein offenes Ohr für ihre Anliegen haben.
• Jährliche Schulungen zur Sensibilisierung der Mitarbeiter
  Zwei der größten Bedrohungen für Unternehmen sind Phishing und Ransomware, die beide menschliche Fehler ausnutzen.
  Wenn Mitarbeiter Phishing-E-Mails erhalten und nicht erkennen können, dass es sich um Betrug handelt, ist das gesamte Unternehmen gefährdet.
• Risikobewertungen priorisieren
  Eine Risikobewertung ist eine der ersten Aufgaben, die ein Unternehmen bei der Vorbereitung seines Cybersicherheitsprogramms durchführen sollte. Nur so können Sie sicherstellen, dass die von Ihnen gewählten Kontrollen den Risiken, denen Ihr Unternehmen ausgesetzt ist, angemessen sind. Zu diesem Zweck wird ein System erstellt, das Ihnen hilft, die folgenden Fragen zu beantworten:
  1.In welchen Szenarien ist Ihr Unternehmen bedroht?
  2.Welchen Schaden würde jedes dieser Szenarien anrichten?
  3.Wie wahrscheinlich ist es, dass diese Szenarien eintreten werden?
• Regelmäßige Überprüfung von Richtlinien und Verfahren. Richtlinien und Verfahren sind die Dokumente, in denen die Regeln einer Organisation für den Umgang mit Daten festgelegt sind. Richtlinien geben einen groben Überblick über die Grundsätze der Organisation, während Verfahren detailliert beschreiben, wie und wann etwas getan werden sollte.
• Bewerten und verbessern. 

Die hier skizzierten Schritte sind nur der Ausgangspunkt. Die Cybersicherheit ist ein sich ständig weiterentwickelnder Bereich, und Ihr Unternehmen muss seine Praktiken regelmäßig überprüfen, um sicherzustellen, dass sie auf dem neuesten Stand sind.

Sie planen einen IT-Sicherheitsbeauftragten (ISB) oder einen Informationssicherheitsbeauftragten (ISO) in Ihrem Unternehmen zu platzieren? Oder Sie suchen Unterstützung für Ihre interne Fachkraft?

Schauen Sie in unseren Shop.