Informationssicherheit: Was macht der ISB eigentlich den ganzen Tag?

Teil 9 unserer Serie über den kompletten Aufbau eines datengetriebenen Unternehmens Teil 8 lesen

ISB und DSB: Zwei Rollen mit Verwechslungsgefahr

Die häufigste Frage wenn man den Begriff Informationssicherheitsbeauftragter (ISB) zum ersten Mal hört: Haben wir den nicht schon? Wir hatten doch gerade einen DSB eingestellt.

Kurze Antwort: Nein. Beides sind wichtige Rollen, beide enden auf SB, aber sie schauen auf unterschiedliche Dinge.

Der Datenschutzbeauftragte (DSB) kümmert sich um personenbezogene Daten und die Einhaltung der Datenschutzgrundverordnung, unter Fans besser bekannt als DSGVO. Er stellt sicher dass Kundendaten, Mitarbeiterdaten und alle anderen personenbezogenen Informationen rechtmäßig verarbeitet werden. Seine Arbeit ist stark rechtlich geprägt.

Der Informationssicherheitsbeauftragte (ISB) kümmert sich um die Sicherheit aller Informationen im Unternehmen, unabhängig davon ob sie personenbezogen sind oder nicht. Betriebsgeheimnisse, Produktionsdaten, IT-Infrastruktur, Zugriffsrechte oder Notfallpläne. Seine Arbeit ist stärker technisch und organisatorisch geprägt, hat jedoch auch Bezug zu rechtlichen Vorgaben wie NIS2.

Beide Rollen ergänzen sich, keine ersetzt die andere. In kleineren Unternehmen kann eine Person beide Rollen übernehmen, allerdings nur, wenn sie a) die nötige Fachkunde für beide mitbringt und b) wenn dabei keine Interessenkonflikte entstehen.

Was ein ISB konkret macht

Die Rolle klingt abstrakt. In der Praxis ist sie sehr konkret und breiter als die meisten erwarten.

• Risikoanalyse: Der ISB identifiziert systematisch welche Informationen und Systeme schützenswert sind, welche Bedrohungen existieren und wie hoch das Risiko im Einzelfall ist. Dabei orientiert er sich an anerkannten Frameworks wie der ISO 27001. Diese definiert einen strukturierten Katalog möglicher Sicherheitsmaßnahmen, aus dem je nach Risikoprofil des Unternehmens die passenden ausgewählt und umgesetzt werden.

• Richtlinien und Maßnahmen: Auf Basis der Risikoanalyse entwickelt der ISB Sicherheitsrichtlinien: was darf auf welchem Gerät gespeichert werden, wer hat Zugriff auf welche Systeme, wie werden Passwörter gehandhabt, was passiert bei einem Sicherheitsvorfall. Er sorgt dafür dass diese Richtlinien dokumentiert, kommuniziert und eingehalten werden, notfalls mit Zwang. ISBs, die dies hier lesen, wissen Bescheid.

• Schulungen: Technik allein schützt nicht. Der häufigste Einfallstor für Angreifer ist der Mensch: Phishing-Mails, schwache Passwörter, die in Post Its am Monitor kleben oder unvorsichtiger Umgang mit sensiblen Informationen (siehe die bekannten, lautstarken Telefonate im Ruhebereich eines jeden ICE). Der ISB sorgt dafür, dass das Team regelmäßig geschult wird und Sicherheit nicht als reines IT-Thema abgetan wird.

• Vorfallmanagement: Wenn etwas passiert - ein Datenleck, ein Ransomware-Angriff, ein verlorenes Laptop - koordiniert der ISB die Reaktion. Wer wird informiert, welche Systeme müssen isoliert werden, wie wird der Vorfall dokumentiert, was wird der Geschäftsführung und wenn nötig dem BSI gemeldet?

• Lieferantenbewertung: Wer Zugang zu den eigenen Systemen hat, ist ein Sicherheitsrisiko. Externe Dienstleister, Cloud-Anbieter, Softwarelieferanten, der ISB prüft, ob deren Sicherheitsstandards den eigenen entsprechen und verankert Anforderungen in Verträgen. Das funktioniert aber auch in die andere Richtung: Wer selbst Lieferant oder Dienstleister eines NIS2-pflichtigen Unternehmens ist, bekommt diese Anforderungen zunehmend über Verträge weitergereicht, unabhängig davon ob er selbst unter die Richtlinie fällt.

• Interne Audits: Regelmäßige Überprüfung ob die eigenen Maßnahmen noch greifen, ob Richtlinien eingehalten werden und das gesamte Sicherheitskonzept in der Praxis funktioniert.

Was ein ISB nicht macht

Das wichtigste zuerst und direkt aus der Praxis: er weiß nicht (wiederhole: NICHT) jedes Passwort und ist ebensowenig der IT Support. Sorry, Rant over!

• Er ist kein IT-Administrator. Er konfiguriert keine Firewalls, installiert keine Updates und wartet keine Server. Er steuert und überwacht, die technische Umsetzung liegt bei der IT-Abteilung.

• Er ist auch kein Verhinderer. Ein ISB der bei jedem neuen Projekt als erstes Nein sagt, hat die Rolle falsch verstanden. Seine Aufgabe ist es, Risiken sichtbar zu machen und Wege zu finden diese zu minimieren, nicht Projekte zu blockieren.

• Er trägt nicht die alleinige Verantwortung für Informationssicherheit im Unternehmen. Das ist ein häufiges Missverständnis. Informationssicherheit ist Aufgabe der gesamten Organisation. Der ISB koordiniert, berät und überwacht, die Verantwortung trägt rechtlich die Geschäftsführung.

Intern oder extern?

Dieselbe Frage wie beim DSB, mit etwas anderen Antworten.

Ein interner ISB kennt die Systeme, die Prozesse und die Menschen. Er ist nah dran und kann schnell reagieren. Der Nachteil: Er braucht substanzielle Fachkunde in Informationssicherheit, ausreichend Zeit für die Rolle neben seinem eigentlichen Job, und er darf nicht in einem Interessenkonflikt stehen. Der IT-Leiter als ISB ist problematisch, denn er würde seine eigene Arbeit beaufsichtigen.

Ein externer ISB bringt Fachkunde und Unabhängigkeit mit. Er kennt aktuelle Bedrohungslagen, hat Erfahrung aus verschiedenen Unternehmen und haftet für seine Beratungsleistung. Der Nachteil: Er kennt das Unternehmen weniger gut und ist nicht täglich vor Ort.

Für viele Mittelständler ist der externe ISB der pragmatischere Einstieg, besonders wenn Informationssicherheit bisher kein eigenes Thema war und das interne Know-how noch aufgebaut werden muss.

Was Thalberg entscheidet

Thalberg bestellt einen externen ISB. Die Entscheidung fällt nach etwa einer Stunde Diskussion, inklusive Whiteboard, weil es immer jemanden gibt der bei längeren Gesprächen unweigerlich aufsteht und anfängt zu zeichnen (Carsten, hust hust). Am Ende steht trotzdem dasselbe Ergebnis: extern, weil niemand im Unternehmen die Rolle realistisch übernehmen kann ohne seinen eigentlichen Job stark zu vernachlässigen.

Der externe ISB beginnt mit einer Bestandsaufnahme. Er braucht drei Wochen, sein Bericht hat 24 Seiten. Der Geschäftsführer liest ihn an einem Sonntagnachmittag und schläft danach schlechter als vorher.

Das klingt stressig, ist jedoch ein gutes Zeichen. Wer weiß was er nicht weiß, kann anfangen es zu lösen. Jetzt müssen wir nur noch hoffen, dass uns Simon Sinek dieses Zitat nicht klaut…

Was als nächstes kommt

Warehouse steht, DSB an Bord, ISB bestellt. Eigentlich könnte man jetzt entspannt sein. Nächste Woche stellt sich heraus warum das noch etwas früh gedacht ist und wer bei Thalberg noch immer auf Daten zugreifen kann, obwohl er das längst nicht mehr sollte.