Kooperative Informationssicherheit in Forschung und Praxis
Investoren, Kunden, Mitarbeiter, Partner, Gesetze und Behörden stellen vielfältige Sicherheitsanforderungen an Unternehmen. Werden diese nicht erfüllt, so kann dies zu Vertrauensverlust oder bei Verletzung der gesetzlichen Sorgfaltspflicht auch zu harten zivil- und strafrechtlichen Folgen führen. Damit wurde Informationssicherheit zu einem wesentlichen Erfolgsfaktor moderner Unternehmen und integraler Bestandteil guter Unternehmensführung.
Während es zahlreiche Forschungen im Bereich technischer Informationssicherheit gibt, wurde kooperatives Sicherheitsmanagement bisher noch kaum untersucht. Daher erarbeitete das Institut für Informatik und das Institut für Wirtschaftsinformatik, Produktionswirtschaft und Logistik der Universität Innsbruck im Rahmen des vom Land Tirol im Wege der Standortagentur Tirol geförderten Projektes COSEMA (Collaborative Security Management) ein marktorientiertes, ganzheitliches Managementkonzept. Durch klare und kohärente Ziele, Rollen und Verantwortungen wird ganzheitliche Informationssicherheit systematisch in den Arbeitsalltag aller Beteiligten integriert. Praktische, einprägsame Schulungen und Richtlinien, eine laufende Sensibilisierung, der sichtbare Einsatz der Geschäftsleitung u.a. fördern laut einer durchgeführten Befragung das Sicherheitsverständnis der Mitarbeiter. Durch aktivitäts-orientierte Statusinformationen werden nötige Anpassung an interne und externe Veränderungen frühzeitig erkannt. Kohärente, empfängerorientierte Sicherheitsberichte dokumentieren die Einhaltung aller Verpflichtungen und kommunizieren den Nutzen der Informationssicherheit. So wird Informationssicherheit als Mehrwert für Kunden und Unternehmen von allen Beteiligten gemeinsam effizient und effektiv umgesetzt.
An die TIWAG-Tiroler Wasserkraft AG werden als wichtigster Stromerzeuger und Stromnetzbetreiber der Region besonders hohe Sicherheitsanforderungen gestellt. Harald Oleschko erläuterte die in der TIWAG gelebten Prozesse und Methoden des IT-Sicherheits- und Risikomanagement. Sein Fazit: „IT-Risikomanagement kann nicht verordnet werden, sondern bedarf einer gut geplanten Vorgehensweise zur Einführung im IT-Bereich und Unternehmen. Es muss als Projekt aufgesetzt werden.“
Michael Danzl, IT-Security-Officer der EGGER Gruppe, präsentierte pragmatische Lösungen zur Umsetzung eines integrierten IT-Sicherheitsmanagements. Aufgrund seiner Erfahrung im weltweit agierenden Familienunternehmen „schützt nachweisbare Sicherheit sowohl das gesamte Unternehmen als auch die Mitarbeiter und schafft Freiraum für Innovation“. Um das Sicherheitsmanagement nachhaltig zu verankern und laufend zu verbessern, ließ sich die OrgIT 2010 freiwillig nach ISO/IEC 27001 zertifizieren.
(Dr. Margareth Stoll)