{"id":2873,"date":"2014-11-01T12:31:38","date_gmt":"2014-11-01T10:31:38","guid":{"rendered":"http:\/\/www.bernhardschloss.de\/blog\/?p=2873"},"modified":"2014-11-01T12:31:38","modified_gmt":"2014-11-01T10:31:38","slug":"631-informationssicherheit-guiding-questions","status":"publish","type":"post","link":"https:\/\/www.bernhardschloss.de\/blog\/631-informationssicherheit-guiding-questions\/","title":{"rendered":"#631 Informationssicherheit – Guiding Questions"},"content":{"rendered":"

Bei dem ganzen Hype, der dem Thema Informationssicherheit in den letzten Jahren widerfahren ist, darf man eines nicht vergessen: Informationssicherheit ist kein Selbstzweck, sie dient lediglich zur Sicherstellung des eigentlichen Gesch\u00e4ftszweckes\/des eigentlichen Auftrags. Demnach gilt: Business first!<\/p>\n

Beim Thema Informationssicherheit darf es nicht um die Befriedigung aus Normen abgeleiteter Anforderungen gehen, sondern es ist stets eine Abw\u00e4gung aus Business Sicht. Dies gilt insbesondere, da es eine 100%-Sicherheit nicht gibt, insofern ist Informationssicherheit immer auch ein Risikomanagement-Prozess.<\/p>\n

Bei einem gro\u00dfen Rollout-Projekt zur Implementierung eines IT-Security-Prozesses im IT Service-Management, mussten wir lernen, dass wir die Kollegen immer wieder \u00fcberfordert haben. Zum Einen ging die eben erw\u00e4hnte Business-Perspektive in den K\u00f6pfen immer wieder verloren, zum Anderen verloren die Kollegen bei der Vielzahl der Security Requirements schnell den \u00dcberblick und haben den Wald vor lauter B\u00e4umen nicht mehr gesehen. Da wurden dann technische Betriebs-Details\u00a0 formal mit dem Provider gekl\u00e4rt, anstatt sich grunds\u00e4tzlich mit der Frage auseinander zu setzen, was (im konkreten Fall) eine Cloud-L\u00f6sung \u00fcberhaupt ist und ob man die eigenen Daten wirklich in fremde H\u00e4nde geben m\u00f6chte. Nat\u00fcrlich braucht es auch dedizierte Anforderungen, aber ohne ein entsprechendes Mindset wurde die Bearbeitung schnell zum sinnentleerten Papiertiger.<\/p>\n

Vor diesem Hintergrund habe ich eine Reihe von Guiding Questions formuliert, um die Kollegen wieder „abzuholen“. Nat\u00fcrlich gilt als oberster Grundsatz die Orientierung am Gesch\u00e4ftszweck (1), dann ist ein generelles L\u00f6sungsverst\u00e4ndnis erforderlich (2) um \u00fcberhaupt die klassischen Dimensionen der Informationssicherheit bearbeiten zu k\u00f6nnen (3-5). Zur Visualisierung habe ich mich des IT Security Canvas<\/a> bedient:<\/p>\n

(1) Business first!<\/strong><\/p>\n

(2)\u00a0L\u00f6sung & Architektur<\/strong>
\nUm ein allgemeines Verst\u00e4ndnis unserer L\u00f6sung zu entwickeln:<\/p>\n