(openPR) Wir akzeptieren fortlaufend Risiken im Datenschutz und in der IT-Sicherheit
Grundsätzlich und pauschal müssen wir der Behauptung, dass Datenschutz und IT-Sicherheit Kostentreiber und Behinderung darstellen bejahen.
Die Kosten gehen ja in die Höhe, wenn wir unsere Firewall aufwändig konfigurieren, sie gehen in die Höhe, wenn wir Verschlüsselungsprogramme kaufen und einsetzen und sie gehen in die Höhe, wenn wir Virenschutzprogramme kaufen und einsetzen, Mitarbeiterunterweisungen kosten Geld; usw. usw.
Natürlich hindert es mich bei meiner Arbeit, wenn ich wegen Rechteeinschränkung nicht an die notwendigen Informationen herankomme und mir diese über Umwege oder einen Kollegen beschaffen muss. Natürlich ist es hinderlich, wenn ich meine Besucher an der Pforte abholen muss. Es ist hinderlich, darüber nachzudenken, welche Infos ich zu meinem Aufgabenfeld kommunizieren darf und welche nicht; usw. usw.
Diese Aufzählungen sind beliebig fortsetzbar ... aber wir wollen ja lediglich diese Problematik aufzeigen und lassen es jetzt mit Beispielen einmal bewenden ... uns ist es wichtiger für Sie Lösungsansätze zu erarbeiten, wie SIE das Kosten- und Behinderungs-Dilemma bezüglich Datenschutz und IT-Sicherheit sinnvoll lösen können.
Jedem IT-Verantwortlichen, es muss noch nicht einmal der Datenschutzbeauftragte oder der IT-Sicherheitsbeauftragte sein, ist vollkommen bewusst, dass in den beiden Bereichen Anstrengungen unternommen werden müssen, damit schützenswerte Informationen nicht an Unberechtigte gelangen, damit wir uns compliant verhalten, usw. Hier einen Schutz zu installieren, dann da und Morgen vielleicht dort einen Schutz zu implementieren ist zwar mit minimalen Kosten und minimaler Behinderung verbunden, aber insgesamt nicht zielführend. Das Ziel ist doch wohl, dass wir ein bestimmtes Schutzniveau erreichen aber gleichzeitig Kosten und Behinderung minimieren. Diese Definition ist zulässig.
Was sollen wir tun? Zielführend ist letztendlich nur ein komplettes Datenschutz- und IT-Sicherheits-Konzept. Genau das ist aber das Problem. Siehe Überschrift.
Versuchen wir doch einmal, uns an eine akzeptable Lösung heranzutasten.
Welche Aussage impliziert unser Verhalten hier und da Schutzwälle zu errichten? Nun, dieses Verhalten impliziert die Tatsache, dass wir unbewusst(!) Risiken - an die wir nicht gedacht haben - AKZEPTIEREN. Mit dieser Erkenntnis sind wir schon auf einem guten und zielführendem Weg, denn jetzt muss die nächste Frage lauten: welche Risiken sind für uns denn absolut INAKZEPTABEL!
Die Beantwortung der Frage "welche INAKZEPTABLEN Risiken wirken auf unsere schützenswerte Informationen?" ist der Lösungsansatz!
Durch das Finden von INAKZEPTABLEN Risiken (Wir definieren, was akzeptabel und inakzeptabel ist!) können wir Kosten und Behinderung gegen oder mit dem Sicherheitsbedürfnis ausbalancieren.
Sie kennen die Risiken nicht? Das ist nicht weiter schlimm, weil WIR die allermeisten Risiken kennen, die "auf die IT wirken" - es sind etwa 650. Diese haben wir nach fünf Eintrittswahrscheinlichkeiten und fünf Schadenshöhen bewertet und zu dieser Einstufung angebrachte IT-Sicherheits-Maßnahmen gestellt. Die Einstufung der Risiken in "rot, gelb, grün" haben wir sinngemäß auf die IT-Sicherheits-Maßnahmen übertragen und wissen nun, welche davon zwingend implementiert werden sollten. Sind es immer noch zu viele Maßnahmen, brauchen wir lediglich unsere AKZEPTANZKRITERIEN zu erhöhen und schon reduzieren wir Kosten und Behinderung!
Hier ist die Lösung: http://px.vc/blw38
Wir wünschen Ihnen viele positive Erkenntnisse.
Gerhard Kron
