Das zentrale Thema Sicherheit
Informations-Sicherheit. Die zunehmende Digitalisierung verändert auch das Anforderungsprofil von IT-Dienstleistern im Sinne einer ganzheitlichen Herangehensweise. Ein Expertenkommentar von Thomas Seiler, CISO bei CANCOM Austria.
Für Unternehmen und die Verwaltung bekommt das Thema Sicherheit und insbesondere IT- bzw. Informations-Sicherheit im Kontext mit der kontinuierlich fortschreitenden Digitalisierung immer größere Bedeutung. Zur Themenspange Informations-Sicherheit gehören zahlreiche Einzelaspekte, von der klassischen IT-Security über Cyber-Security bis hin zur Absicherung von kritischen Infrastrukturen.
Nötige Handlungsvorgaben
Die meisten Unternehmen, Behörden, Institutionen und Organisationen sind bei den angeführten Sicherheitsthemen inzwischen sensibilisiert. Das war nicht immer so, jetzt wird die Notwendigkeit entsprechender Maßnahmen aber ernst genommen, nicht zuletzt angetrieben von vielen nationalen, internationalen bzw. europäischen Regularien. Diese Gesetze setzen hier den großen Rahmen und definieren dann auch die nötigen Handlungsvorgaben.
Als CANCOM sind wir bei der Umsetzung von Regularien wie NIS‑2, DORA oder dem neuen EU AI Act vertrauensvoller Partner unserer Kunden. In dieser Umsetzung ist Informations-Sicherheit immer ein Spagat zwischen Usability und Security. Das eine geht nicht ohne das andere, und umgekehrt. Es kommt darauf an, den optimalen Weg (Prozesse!), die besten Mittel (Technologie!) und die zukunftssichersten Lösungen zu finden – und zu etablieren.
Absolute Verfügbarkeit
Besonders wichtig ist das Thema Informations-Sicherheit natürlich bei versorgungskritischen Bereichen wie Gesundheit oder Energie. Diese grundlegenden Einrichtungen und Services mit ihren komplexen Prozessen, sensiblen Daten und gesetzlichen Vorgaben müssen ausnahmslos immer funktionieren. Ausfälle oder Datenverluste darf es hier nicht geben.
Bei diesen Branchen ist es vom Gesetzestext bis zur Umsetzung der dort definierten Anforderungen oftmals ein weiter Weg. Wie muss etwa eine Vorschrift angepasst an die betriebsspezifischen Anforderungen interpretiert werden? Wie kommen wir konkret zu einer nachhaltigen strategischen und technologischen Integration dessen, was abstrakt im Gesetzestext oder in Normen steht? Wie hoch ist der Security-Reifegrad des Unternehmens? Welche Risiken gibt es? Wie kritisch sind die Systeme? Ein „0815-Server“ ohne kritische Daten muss anders geschützt sein als ein Server mit Firmendaten zur Steuerung von Produktion oder Infrastruktur.
Höchstmaß an Verlässlichkeit
Informations-Sicherheit ist ein wechselseitiger Prozess mit einer partnerschaftlichen, auf Synergien, Integration, Zukunftssicherheit und Transparenz ausgerichteten „Verzahnung“ der Strategie, der Interessen und der Lösungen. Als Lieferant von kritischen Dienstleistungen verlangen wir daher auch von uns selbst ein Höchstmaß an Gesetzes- wie Normentreue und an Verlässlichkeit. Das ist dann auch das Fundament unseres Security Policy Frameworks, an dem wir uns strategisch orientieren und die entsprechenden Konzepte und Umsetzungen an unsere Kunden weitergeben.
Beim Thema Informations-Sicherheit mit all seinen einzelnen Bereichen kommt es vergleichsweise noch mehr auf eine offene, transparente und konstruktive Zusammenarbeit an. Es geht um Vertrauen, nicht nur in die Systeme, sondern vor allem auch zu den Lieferanten und zur finalen Lieferkette. Das ist der kritische Punkt, auf den wir unser besonderes Augenmerk richten sollten. Informations-Sicherheit ist immer Risikomanagement. Informations-Sicherheit kann aufwändig und anstrengend sein, und sie kostet auch etwas. Aber es lohnt sich. Unsicherheiten und Risiken kann sich niemand leisten.
(Thomas Seiler hat 2014 bei Kapsch BusinessCom als First Level Supporter begonnen und sich zum CISO bei CANCOM Austria entwickelt. Seine Zukunftsorientierung zeigt sich bereits in seiner Masterarbeit mit dem Thema Quantenkryptographie.
Der renommierte Fachmann für IT-Sicherheit ist CRISAM-Expert, CISM- und CISA-zertifiziert und hat einen Abschluss in Professional MSc Management und IT-Spezialisierung Information Security Management.)