Compliance ist keine Garantie für Sicherheit

Regelerfüllung statt Risikoprophylaxe

Landshut, 12. Juli 2012. Compliance ist ein viel bemühter Begriff in der IT-Security-Branche: Compliance-Officer, Security-Anbieter und Wirtschaftsberater preisen Compliance als Wundermittel gegen Bedrohungsszenarien jeder Art, egal ob aus dem Internet, durch Korruption oder unachtsame Mitarbeiter. Und die Geschäftsführer nicken teure Compliance-Maßnahmen ab – aus diffuser Angst um ihre Sicherheit und vor gesetzlichen Repressalien. Der Reality-Check, ob das Unternehmen durch diese Maßnahmen wirklich sicherer wird, bleibt auf der Strecke.

Es ist ist zu kurz gedacht, wenn Unternehmens- und IT-Chefs sich damit begnügen, alle vorgeschriebenen Compliance-Regeln zu befolgen und meinen, damit auf der sicheren Seite zu sein. Compliance bedeutet erst einmal lediglich, Regeln zu erfüllen, die von der Industrie, von Verbänden, Banken, Versicherungen oder dem Gesetzgeber aufgestellt wurden – etwa der Sarbanes Oxley Act von der US-Regierung, PCI-DSS von der Kreditkartenindustrie, Basel III von der Bank für Internationalen Zahlungsausgleich und so weiter. Ein Unternehmen, das „compliant“ ist, hat bisher genau ein einziges Risiko ausgeschlossen: Den Verstoß gegen diese von Dritten aufgestellten Regeln.

Compliant sein, heißt also noch lange nicht, sicher sein

Es drohen andere und weit existentiellere Risiken für ein Unternehmen, als nur „non-compliant“ zu sein: Dazu gehört an vorderster Stelle der Verlust von Geschäftsgeheimnissen, Diebstahl persönlicher Kundendaten oder auch die Beschädigung von Ansehen. Nicht zuletzt müssen Unternehmen innovativ bleiben und schnell auf Marktgegebenheiten reagieren können, um mitbewerbsfähig zu bleiben.

Eine regelgerechte Compliance hilft dabei aber nicht. Im Gegenteil, sie kann sogar Sicherheitsstrukturen im Wege stehen, die ja flexibel jede neue Situation berücksichtigen soll. „Compliant sein“ bedeutet nämlich auch Schwerfälligkeit und Langsamkeit, denn jeder Prozess und jede Veränderung muss daraufhin geprüft werden, ob alle Regeln eingehalten werden. Der Hype um Compliance führt dazu, dass komplette Security-Budgets in teure Compliance-Maßnahmen gesteckt werden, die der konkreten Sicherheit des Unternehmens wenig dienlich sind. Hauptsache ist, der Wirtschaftsprüfer bescheinigt beim Jahresabschluss, die Compliance des Unternehmens. Ob die für das Unternehmen relevanten Sicherheitsrisiken berücksichtigt und mit passgenauen Sicherheitsmaßen abgedeckt sind, schenken CEOs weit weniger Beachtung.

Sicherheit ist individuell

Keine Frage, bestimmte Geschäftsmodelle sind zwangsläufig darauf angewiesen, Compliance-Anforderungen zu befolgen: Wenn etwa daran eine Zulassung hängt, wie an PCI-DSS für Anbieter von Kreditkarten oder die Erfüllung von Basel III-Kriterien die Kreditwürdigkeit beeinflusst. Es empfiehlt sich jedoch, genau zu prüfen, ob und in welchem Maße das eigene Unternehmen Compliance-Vorschriften nachkommen muss – oder aber, ob der Compliance-Vorwand nicht nur als Geschäftsführerschreck und Honorarmaschinerie für Unternehmensberater und Security-Anbieter angeführt wird.

Wichtiger als Compliance-Anforderungen akribisch zu erfüllen, ist für die meisten Unternehmen, ein Sicherheitskonzept zu entwickeln, das wirklich passgenau auf die eigenen Ansprüche zugeschnitten ist. Dafür müssen sie sich folgende Fragen stellen:

  • Was sind eigentlich unsere „schützenswerten Informationen“ – Patente, Kunden- und Buchhaltungsdaten, Produktionsprozesse?
  • Was sind die Risiken? Was passiert, wenn diese Informationen in fremde Hände gelangen oder verloren gehen?
  • Welche Maßnahmen sind nötig, um diese Unternehmenswerte wirksam zu schützen?
  • Was wird bereits getan, um diese Informationen zu schützen?

Wer schützenswerte Informationen besitzt, braucht einen Mitarbeiter der sich explizit um Informationssicherheit kümmern kann. Für ein erstes Sicherheitskonzept unterstützen idealerweise externe Sicherheitsberater, die die nötigen Strukturen aufbauen und dabei helfen eigene, interne Kräfte zu qualifizieren, damit sie diese Aufgaben übernehmen können. Kleinere Firmen ohne eigene personelle Ressourcen sind gut beraten, einen externen Sicherheitsbeauftragen langfristig zu beauftragen, so wie es heute mit einem Datenschutzbeauftragten üblich ist.

Über Goebel Consult
Der unabhängige Sicherheitsberater Hartmut Goebel ist unter der Marke Goebel Consult seit über zehn Jahren mit allen Facetten der Informationssicherheit befasst und berät seit 2003 mittelständische Unternehmen und Konzerne beim Management ihrer Informationssicherheit. Vom Sicherheitsgremium (ISC)² zertifiziert als CISSP (Certified Information System Security Professional) und als CSSLP, verfügt er über eine der höchsten Qualifikationen als Sicherheitsberater.
Hartmut Goebel ist in verschiedenen Fachgremien aktiv wie etwa dem (ISC)² Chapter Germany, der ACM (Association for Computing Machinery) und er ist Mit-Initiator der Workshopreihe „IT-Security live“, die CISOs großer Unternehmen zum Erfahrungsaustausch zusammenbringt. Seine Kolumne „CISSP-Geflüster“ findet sich unter www.cissp-gefluester.de.
www.goebel-consult.de

Pressekontakt
punktgenau PR
Christiane Schlayer
Fon +49 (0)911 9644332
christiane.schlayer@punktgenau-pr.de
www.punktgenau-pr.de

Goebel Consult
Hartmut Goebel
Salamanderweg 5
84034 Landshut
Fon +49 (0)871 66 06 318
h.goebel@goebel-consult.de
www.goebel-consult.de