Informationssicherheit und Notfallmanagement: Ein Leitfaden

1. Schutz von Unternehmensinformationen

Das Ziel ist es, persönliche Informationen vor Bedrohungen zu schützen, um die Geschäftskontinuität zu gewährleisten, unternehmerische Risiken zu minimieren und den Return on Investment sowie Geschäftsmöglichkeiten zu maximieren. Arbeitsprozesse und Kapital erzeugen aktive Produkte, Waren und Informationen.

2. Klassifizierung von Informationen

• Vital: Informationen, die für das Überleben der Organisation unerlässlich sind und ohne die der Betrieb nicht funktionieren kann.
• Kritisch: Informationen, die entscheidend für das Erreichen der Unternehmensziele sind. Ein Verlust könnte die Organisation ernsthaft gefährden.
• Wertvoll: Informationen von anerkanntem Wert für bestimmte Bereiche. Der Verlust könnte zu ernsthaften Problemen bei den Geschäftsfunktionen führen.

3. Social Engineering

Beim Social Engineering werden Praktiken genutzt, um durch Täuschung oder Ausbeutung von Menschen Vertrauen zu gewinnen und Zugriff auf sensible Systeme zu erhalten. Betrüger geben sich als andere Personen oder Experten aus, um Sicherheitslücken auszunutzen, die nicht auf technischer Gewalt, sondern auf menschlicher Manipulation basieren. Mitarbeiter, die nicht für solche Angriffe geschult sind, stellen ein hohes Risiko dar. Diese Techniken werden oft im Rahmen der Wirtschaftsspionage eingesetzt.

4. Risikominimierung und Notfallplanung

Das Ziel ist die Verringerung der Wahrscheinlichkeit von Schäden durch präventive Verfahren. Ein Notfallplan zielt darauf ab, bereits entstandene Schäden zu mindern. Ein Beispiel hierfür ist die Krisenkommunikation, um den Ruf des Unternehmens zu schützen und zu verhindern, dass sensible Informationen unkontrolliert an die Medien gelangen.

5. Redundanz als Sicherheitsfaktor

Redundanz ist die Fähigkeit eines Systems, den Ausfall einer Komponente durch redundante Funktionen zu kompensieren. Ein zweites Gerät steht sofort zur Verfügung, wenn das Primärsystem ausfällt. Ein Beispiel sind Flugzeuge, die über mehrere Onboard-Computer und Steuerungssysteme verfügen. Diese müssen ebenso effizient, einsatzbereit und getestet sein wie das Hauptsystem.

6. Methodik zur Umsetzung eines Notfallplans

Die Umsetzung erfolgt in sechs Schritten:

1. Beurteilung des Entwurfs, der Reichweite und Anwendbarkeit.
2. Risikoanalyse.
3. Analyse der Auswirkungen auf die Geschäftsentwicklung.
4. Erstellung von Plänen für die Notfallwiederherstellung.
5. Ausbildung und Prüfung der Pläne.
6. Implementierung und Wartung.

7. Anforderungen an Erhaltung und Restaurierung

• Vital: Müssen ausnahmslos beibehalten und restauriert werden.
• Kritisch: Sollten beibehalten werden, sofern keine ausreichend dokumentierte Ausnahme vorliegt.
• Wertvoll: Aufbewahrung basierend auf einer Kosten-Nutzen-Analyse.

8. Speicheranforderungen

• Vital: Speicherung an mindestens drei Standorten zur maximalen Sicherheit.
• Kritisch: Speicherung an mindestens zwei Standorten.
• Wertvoll: Speicherung an mindestens einem Standort mit maximaler Sicherheit.