IT Security: Das müssen Sie beim Sicherheitskonzept beachten
KURZ ZUSAMMENGEFASST
Ein IT-Sicherheitskonzept wandelt unscharfe Vorstellungen von Sicherheit in ein verbindliches, schriftliches Dokument um. Es dient als Grundlage für Richtlinien und Massnahmen, die nachvollziehbar umgesetzt werden müssen, und verhindert, dass Sicherheitsvorgaben nur in den Köpfen einzelner Verantwortlicher verbleiben. Besonders für Organisationen mit sensiblen Daten oder unter dem Druck von GDPR und NIS2 ist eine solche Dokumentation nicht nur sinnvoll, sondern zwingend erforderlich.
Die wichtigsten Punkte:
- Ein schriftliches Konzept ist essenziell, um Unsicherheiten bei der Umsetzung von IT-Sicherheit zu vermeiden.
- Es bildet die Basis für abgeleitete Richtlinien, Schulungen und technische Massnahmen.
- Gesetzliche Vorgaben wie GDPR, NIS2 und KRITIS machen ein Konzept für viele Branchen unverzichtbar.
- Die Erarbeitung erfordert eine enge Zusammenarbeit zwischen Management und IT-Abteilung.
- Die Komplexität des Konzepts passt sich der Grösse und Struktur der Organisation an.
Lars Behrens, Dipl.-Paed
Lars Behrens ist Geschäftsführer der Firma MaLiWi IT. Staatlich geprüfter Netzwerkadministrator, Microsoft MCP/Linux LCP. Er hat langjährige Erfahrung in der Beratung bei Planung und Einrichtung von IT-Systemen und Netzwerken und dem Support heterogener Systeme (Apple Macintosh, Microsoft Windows, Linux). Universitätsstudium der Pädagogik, mehrere Jahre Tätigkeit im Ausland. Seminar- und Kursleiter, Referent und Fachbuchautor. Weiterhin ist er Herausgeber von dem Online-Fachportal «InformatikPraxis» bei der WEKA Business Media AG.
Wie erstelle ich ein wirksames IT-Sicherheitskonzept für mein Unternehmen?
IT Security – Dokumentierte Sicherheit ist besser als «gemerkte» Sicherheit
Ein solches, strukturiertes Dokument wird als IT-Sicherheitskonzept bezeichnet. Aus diesem Sicherheitskonzept können dann Richtlinien und Massnahmen abgeleitet werden, die nachvollziehbar umgesetzt werden müssen. Ohne ein solches schriftlich ausgearbeitetes Konzept ist die Gefahr gross, dass die Vorgaben zur Sicherheit nur unscharf in den Köpfen einiger Beteiligter formuliert sind.
Anforderungen an ein Sicherheitskonzept
Die Ausarbeitung eines Sicherheitskonzepts ist eine Arbeit, bei der viele Teilaspekte in Bezug auf IT Security zu berücksichtigen sind:
- Absichern der Kommunikationswege im Fest- und Mobilnetz
- Schutz des Netzwerks vor unerwünschten Eindringlingen
- die Prüfung der Sicherheit von PCs und Servern
- Richtlinien für die Nutzer
- Schulung und Sensibilisierung der Nutzer
- Updateroutinen
- Sicherheit der Daten
- Backup und Resore
- Festlegung, welche Daten als sensibel anzusehen sind
Erstellung eines Sicherheitskonzepts
Die vorangegangenen Betrachtungen konnten sicherlich einen ersten Überblick geben, worauf ein solches Konzept Rücksicht nehmen sollte.
Je nach Grösse und Struktur der Organisation ist das Sicherheitskonzept mehr oder weniger komplex und umfangreich. Damit bei seiner Erstellung auch an alle Aspekte gedacht wird, ist eine standardisierte Vorgehensweise sinnvoll. Am Beginn steht dabei eine eher abstrakte Vorgabe, die sich aus dem Ziel des Unternehmens oder der Behörde ableitet und «Sicherheitspolitik» oder «Sicherheitspolicy» genannt wird.
Passende Produkt-Empfehlungen
Aufgabe und Zielsetzung der IT Security definieren
Als Ausgangspunkt für die Ausarbeitung der Sicherheitspolitik dient in der Regel eine allgemeine Definition von Funktion und Aufgabe der Netzwerke und IT-Systeme. Dabei wird spezifiziert, welche Anforderungen an die IT Security und die Verfügbarkeit der eingesetzten Informationstechnologien zu erfüllen sind.
Ein Sicherheitskonzept besitzt eine allgemeine Zielsetzung, deren Inhalt wesentlich von den individuellen Gegebenheiten der betreffenden Organisationseinheit abhängt. Dabei muss die Policy technisch und ökonomisch sinnvoll realisierbar und die Umsetzung von der Geschäftsleitung sichergestellt sein.
Einsatzzweck und -ort spielen eine wichtige Rolle
Eine wichtige Rolle ist natürlich auch die Grösse und der Umfang des IT-Systems bzw. des Netzwerks eines Unternehmens, und natürlich das Metier. In Banken, Versicherungen, behördlichen und sozialen Einrichtungen besitzt die Sicherheit der Daten und der Kommunikation naturgemäss einen höheren Stellenwert als in den meisten kleinen und mittleren Betrieben oder etwa in Universitätseinrichtungen, sofern diese sich nicht gerade mit der Forschung beschäftigen.
Ein weiteres Beispiel: Polizei und Militär sichern ihr Netzwerk üblicherweise sogar physisch gegen den Zugang Unbefugter ab, indem sie etwa eine eigene WAN-Infrastruktur betreiben; es ist ja auch irgendwie schwerlich vorstellbar, dass das Büro der Kantonspolizei über einen herkömmlichen DSL-Anschluss mit der digitalen Welt verbunden ist.
GDPR und NIS2 beachten!
Für sensible Bereiche (Energie- und andere Infrastruktur, Gesundheitswesen, Militär und Zulieferer, Kommunikation u.a.) ist durch die erheblich ausgeweiteten Anforderungen an die IT-Sicherheit im Zuge der Einführung und Umsetzung der Europäischen Datenschutz-Grundverordnung (GDPR bzw. DSGVO) sowie NIS2 und KRITIS ein solches Sicherheitskonzept ohnehin unabdingbar. Dazu aber an anderer Stelle mehr, da eine tiefergehende Betrachtung an dieser Stelle den Rahmen sprengen würde.
Zusammenarbeit von IT-Abteilung und Management
PRAXISTIPP: Die inhaltliche Erarbeitung sollte in Absprache zwischen technischem IT-Personal und dem Management geschehen. Darüber hinaus muss festgelegt werden, wem die Auslegung der Sicherheitspolitik im Einzelfall obliegt. Auch bei einer noch so detaillierten Beschreibung der einzelnen Ziele treten in der Praxis immer wieder Fälle auf, bei denen verschiedene Interpretationen möglich sind. Dennoch ist eine schriftlich Fixierung in Form eines IT-Sicherheitskonzepts unverzichtbar!
Checkliste
- Definieren Sie die Sicherheitspolitik und die übergeordneten Ziele der IT-Sicherheit.
- Erfassen Sie den aktuellen IT-Verbund, inklusive Hardware, Software, Räumlichkeiten und Mitarbeiterrollen.
- Führen Sie eine Schutzbedarfs-Feststellung durch, um den Wert der gespeicherten Daten zu bewerten.
- Analysieren Sie den bestehenden Sicherheitsstatus (Basis-Sicherheitscheck) und identifizieren Sie Lücken.
- Modellieren Sie Massnahmen nach dem IT-Grundschutz, basierend auf den erfassten Daten und Anforderungen.
- Legen Sie Richtlinien für die Nutzer fest und planen Sie Schulungen zur Sensibilisierung.
- Implementieren Sie Updateroutinen und Sicherstellen Sie ein funktionierendes Backup- und Restore-Konzept.
- Sichern Sie Kommunikationswege im Fest- und Mobilnetz sowie den Netzwerkzugang gegen Eindringlinge.
- Klären Sie die Zuständigkeiten für die Auslegung der Sicherheitspolitik in der Praxis.
- Halten Sie das Konzept schriftlich fest und stimmen Sie es regelmässig mit dem Management ab.
IT-Systemerfassung/Strukturanalyse
Die Erstellung des Sicherheitskonzepts beginnt bei der Feststellung des vorhandenen bzw. geplanten IT-Verbunds. Neben den Software-Anwendungen oder der Hardware sind hier z.B. auch die Räumlichkeiten der Server, vorhandene Gebäude und die spezifischen Rollen der Mitarbeiter zu erfassen. Ziel ist die Schaffung einer soliden Grundlage für die IT Security, in der alle sicherheitsrelevanten Parameter beschrieben sind.
Schutzbedarfs-Feststellung
Ist der IT-Verbund ausreichend dokumentiert, werden im zweiten Schritt die Daten bewertet. Die Frage ist, wie wichtig welche der gespeicherten oder verarbeiteten Informationen sind. Hieraus leitet sich ab, ob z.B. Standardsicherheitsmassnahmen genügen oder weitergehende Aktionen erforderlich sind.
Basis-Sicherheitscheck
In diesem Schritt wird festgestellt, welche Sicherheitsmassnahmen der IT Security schon umgesetzt sind.
Modellierung nach IT-Grundschutz
Aus den erfassten Bestandsdaten zum IT-Verbund und den Anforderungen an die IT Security müssen nun die entsprechenden Sicherheitsmassnahmen zusammengetragen werden. Diese Abbildung des praktischen Umfelds auf die Einzelmassnahmen beschreibt die Modellierung anhand systematischer, kategorisierter Module.
FAQ: IT Security
Warum reicht es nicht, Sicherheitsregeln nur mündlich weiterzugeben?
Mündliche Vorgaben bleiben oft unscharf und werden unterschiedlich interpretiert. Ein schriftliches Konzept sorgt für Verbindlichkeit, Nachvollziehbarkeit und eine klare Basis für Schulungen und technische Umsetzungen.
Wer sollte an der Erstellung eines Sicherheitskonzepts beteiligt sein?
Die Erarbeitung sollte in enger Absprache zwischen dem technischen IT-Personal und dem Management erfolgen, um sowohl technische Machbarkeit als auch geschäftliche Ziele zu berücksichtigen.
Müssen auch kleine KMU ein detailliertes Sicherheitskonzept erstellen?
Ja, auch wenn der Umfang variieren kann. Besonders bei sensiblen Daten oder wenn gesetzliche Vorgaben wie GDPR und NIS2 greifen, ist eine strukturierte Dokumentation unabdingbar.
Wie oft muss ein Sicherheitskonzept aktualisiert werden?
Ein Sicherheitskonzept ist kein statisches Dokument. Es sollte regelmässig überprüft und an neue Bedrohungen, geänderte IT-Infrastrukturen oder neue gesetzliche Anforderungen angepasst werden.
Was ist der Unterschied zwischen Sicherheitspolitik und Sicherheitskonzept?
Die Sicherheitspolitik definiert die übergeordneten Ziele und Vorgaben der Organisation. Das Sicherheitskonzept setzt diese Vorgaben konkret um, indem es Massnahmen, Richtlinien und Prozesse detailliert beschreibt.
