IT-Sicherheitskonzept für Maschinenbau:
Strategien und Umsetzung

Was ist ein IT-Sicherheitskonzept?

Ein IT-Sicherheitskonzept definiert das übergeordnete strategische Ziel, das mit der Einführung eines ISMS (Informationssicherheitssystems) erreicht werden soll. Dabei geht es noch nicht um die konkrete Umsetzung, sondern um die Auswahl der technischen Mittel zum Schutz der Informationen. Außerdem wird festgelegt, welche Standorte oder Prozesse abgesichert werden sollen.

Steht das Grobkonzept, können die Details ausgearbeitet werden. Dazu sind in der Regel verschiedene Analysen notwendig, wie z. B. Analyse der IT-Infrastruktur, die Schwachstellenanalyse oder die Bestandsanalyse.

Diese Analysen dienen dazu, spezifische Richtlinien zu definieren. Diese Richtlinien umfassen Maßnahmen, die in den täglichen Arbeitsabläufen umgesetzt werden sollen. Beispielsweise wird geregelt, welche Firewall-Einstellungen vorzunehmen sind, wie lang Passwörter sein müssen oder ob Smartphones privat genutzt werden dürfen.

Zusammenfassung für den eiligen Leser
Ein IT-Sicherheitskonzept ist ein umfassender Plan, der entwickelt wird, um IT-Systeme vor Bedrohungen zu schützen. Säulen dieses Plans sind die sogenannten “technischen und organisatorischen Maßnahmen”.
In unserem Leitfaden stellen wir Ihnen die wichtigsten Maßnahmen im Detail vor und zeigen Ihnen, wie Sie solch ein IT-Sicherheitskonzept mithilfe eines ISMS realisieren. Auf diese Weise werden Sie Sicherheitslücken in Ihrer IT identifizieren und reduzieren können.

Wozu brauchen Maschinenbauer ein
IT-Sicherheitskonzept?

• Viele Maschinenbauer gehen davon aus, dass eine Cyber-Versicherung einen ausreichenden Schutz für IT-Systeme und Daten gewährleistet.
• In der Tat kann eine Cyber-Versicherung die finanziellen Schäden, die dem Unternehmen nach einem erfolgten Cybervorfall entstehen, begrenzen.
• Die tatsächliche Anzahl an Angriffen bleibt jedoch unverändert hoch.
• Als Präventionsmaßnahme ist eine Cyber-Versicherung daher gänzlich ungeeignet. Sie ist auch kein Ersatz für eine umfassende und durchdachte IT-Sicherheitsstrategie.
• Industrieunternehmen sollten sich bewusst sein, dass die wichtigste grundlegende Maßnahme gegen Cyberkriminalität immer noch die Investition in entsprechende technische und organisatorische Maßnahmen ist, sprich, ein durchdachtes IT-Sicherheitskonzept inklusive Backup-Strategie und Notfallplan.

Erst nach einer IT-Sicherheitsanalyse können Maßnahmen abgeleitet und ein Sicherheitskonzept erstellt werden.

Risikoreduktion von Cyberanriffen

• Jedes Unternehmen ist dem allgemeinen Risiko von Cyber-Angriffen ausgesetzt. Jedoch sind Maschinen- und Anlagenbauer aufgrund ihrer hohen Innovationskraft ein besonders attraktives Ziel. Zudem sind sie aufgrund der Exportorientierung stark mit den Geschäftspartnern vernetzt und gehen mit hochwertigen Daten um.
• Anhand einer Risikoanalyse ist es nun möglich, ein durchdachtes IT-Sicherheitskonzept zu entwickeln und eine erste Absenkung des Risikoniveaus zu erreichen. Die eigentliche Risikominderung erfolgt jedoch erst durch die Umsetzung und das Zusammenwirken von technischen und organisatorischen Maßnahmen, die sich aus den Zielen des IT-Sicherheitskonzeptes ableiten.
• Dennoch bleibt ein erhebliches Risiko bestehen, wenn ein durchdachter Notfallplan fehlt.

Das heißt also:
Erst wenn diese drei Bausteine der IT-Sicherheit abgearbeitet sind – Risikoanalyse, IT-Sicherheitskonzept und Notfallplan – kann das Restrisiko auf eine Cyber-Versicherung übertragen werden.

Ihr Weg zur IT-Sicherheit: Informationssicherheitsmanagementsysteme

• Das Konstrukt “IT-Sicherheit” ist in Unternehmen ähnlich wie eine Pyramide aufgebaut.  
• Basis der gesamten IT-Sicherheit ist die Dokumentation. Dazu gehören Betriebshandbücher, Sicherheitshandbücher, Standards sowie Installations- und Organisationsanleitungen.  
• Das IT-Sicherheitskonzept bzw. das ISMS (Informationssicherheitsmanagementsystem) betten sich in die Mitte dieser Pyramide ein. Diese Mittelschicht wird auch als Sicherheitsarchitektur bezeichnet. Ein ISMS wird in der Regel mithilfe bewährter Maßnahmenkataloge und Rahmenwerke wie ISO 27001, IT-Grundschutz (BSI) oder CISIS12 errichtet.  
• Die Spitze der Pyramide bilden die von der Geschäftsleitung herausgegebenen allgemeinen Leitlinien zur IT-Sicherheitspolitik des Unternehmens. 

IT-Dokumentation

• Basis des Informationssicherheit-Managementsystems (ISMS) ist die IT-Dokumentation. Damit das ISMS ordnungsgemäß funktioniert, müssen Dokumente gelenkt, freigegeben und klassifiziert werden.
• Aus Gründen der Vertraulichkeit dürfen das IT-Betriebshandbuch und das IT-Notfallhandbuch nur für berechtigte Personen zugänglich sein. Eine Schlüsselmaßnahme besteht darin, Dokumente sicher analog zu archivieren. Dies schützt wichtige Informationen vor Hackerangriffen und gewährleistet den Zugriff, selbst wenn Server vorübergehend offline sind, um Cyberangriffe abzuwehren.
• Für einen reibungslosen IT-Betrieb sollten Datensicherheitsrichtlinien veröffentlicht und die Einhaltung nachgewiesen werden. Diese Richtlinien beeinflussen das ISMS aufgrund der strukturierten IT-Dokumentation.
• Maschinenbauer sollten ein IT-Sicherheitshandbuch nutzen, um relevante IT-Sicherheitsinformationen und rechtliche Vorgaben zu bündeln und zu bewahren. So bleibt das interne IT-Sicherheitswissen erhalten.

IT-Sicherheitshandbuch

• Auch für kleine und mittlere Logistikunternehmen bietet es sich an, mit einem IT-Sicherheitshandbuch zu arbeiten, da es alle relevanten Informationen zu IT-Sicherheit und rechtlichen Rahmenbedingungen bündelt und detailliert beschreibt. Damit wird das im Unternehmen erarbeitete Wissen zur IT-Sicherheit gesichert.

• Das Handbuch richtet sich an die Unternehmensleitung und/oder den
  IT-Verantwortlichen und kann folgende Kapitel enthalten:
    ✓ Strategische Überlegungen
    ✓ Personelle Maßnahmen
    ✓ Netzwerksicherheit
    ✓ Schutzmaßnahmen
    ✓ Datensicherung
    ✓ Rechtliche Anforderungen

Aufgrund der sensiblen Informationen, die das IT-Sicherheitshandbuch enthält, sind entsprechende Zugriffsschutzmaßnahmen in Form einer sicheren Aufbewahrung bzw. eingeschränkter Zugriffsrechte zu treffen.

Die IT-Dokumentation bildet die Grundlage für das ISMS. Zentrale Leitlinien geben den Mitarbeitern eine sichere Orientierung für den Umgang mit der IT und gewährleisten einen störungsfreien IT-Betrieb.

Vorteile eines Informationssicherheitsmanagementsystemes​

• Wurde ein Unternehmen Opfer eines Cyber-Angriffs, ist es gesetzlich verpflichtet, der Landesdatenschutzbehörde den Datenverlust zu melden. Darüber hinaus muss es entsprechende Veröffentlichungspflichten erfüllen.
• Ein IT-Sicherheitskonzept in Verbindung mit einem ISMS kann dazu beitragen, dass es gar nicht erst so weit kommt, denn dieses System sorgt dafür, dass Sie Ihre IT-Systeme und das Wissen Ihrer Mitarbeiter möglichst effizient gegen Cyberangriffe und Industriespionage schützen.
• Um das ISMS aufzubauen, stehen Unternehmen verschiedene Werkzeuge zur Verfügung. Diese können je nach Unternehmensgröße, verfügbaren Ressourcen und Zielen angewendet werden. Während die umfangreiche ISO 27001 hauptsächlich von international tätigen Konzerne verwendet wird, bietet sich für Mittelständler die CISIS12 an. In bestimmten Branchen werden zudem spezifische IT-Standards verlangt, z. B. eine Zertifizierung nach TISAX.

Wie aus der Grafik zu entnehmen ist, erhöht sich das Schutzniveau mit zunehmender Komplexität der Maßnahmen.

Daraus resultieren aber auch wachsende Kosten und Zeitaufwände.

Ihr Weg zum ISMS:

Vorteile des IT-Sicherheitskonzepts

• Leitfaden: Ein Sicherheitskonzept kann als Leitfaden zum Erkennen und Reduzieren von Sicherheitslücken in Bezug auf Cyberattacken verstanden werden.
• Schutz von Unternehmensdaten: Durch die Umsetzung von technischen und organisatorischen Maßnahmen werden Unternehmensdaten vor unberechtigtem Zugriff, Diebstahl oder Verlust geschützt.
• Reduzierung des Haftungsrisikos: Im Falle eines Cyberangriffs mit Datenabfluss können neben Schadenersatzforderungen von Kunden (Verletzung der Vertraulichkeit) auch persönliche Haftungsrisiken aus der Geschäftsführerhaftung reduziert werden.
• Kontinuierlicher Verbesserungsprozess: Nur, wenn Sie sich regelmäßig mit Ihren technischen und organisatorischen IT-Sicherheitsmaßnahmen auseinandersetzen, erreichen Sie langfristig eine Verbesserung Ihres IT-Sicherheitsniveaus.
• Notfallmanagement: Erst wenn Sie einen Notfall durchgespielt haben, wissen Sie, an welchen Stellschrauben Sie im Ernstfall drehen müssen. So stellen Sie die Verfügbarkeit und Zuverlässigkeit Ihrer IT-Systeme sicher.
• Imagegewinn:Ein hohes IT-Sicherheitsniveau kann bei Ausschreibungen zu Wettbewerbsvorteilen führen. Dies kann sich positiv auf Ihr Angebot auswirken.

Cyberschutz = Regelmäßige Kontrolle der Sicherheitsmaßnahmen + Kombination verschiedener Schutzmaßnahmen.

Fazit

• Leider berücksichtigen viele Unternehmen den Aspekt IT-Sicherheit erst dann aktiv in ihrer Unternehmensstrategie, wenn ein IT-Sicherheitsvorfall bei ihnen oder bei einem Wettbewerber eingetreten ist.
• Doch nur, wenn Sie sich regelmäßig mit Ihren technischen und organisatorischen IT-Sicherheitsmaßnahmen auseinandersetzen, erreichen Sie eine kontinuierliche Verbesserung Ihres IT-Sicherheitsniveaus. Dabei ist zu beachten, dass einzelne Schutzmaßnahmen allein nicht ausreichen, sondern am besten verschiedene Maßnahmen kombiniert werden, um das Risiko von Angriffen zu minimieren.
• In diesem Sinne kann ein IT-Sicherheitskonzept auch als Leitfaden zur Identifizierung und Reduzierung von Sicherheitslücken in Bezug auf Cyber-Angriffe verstanden werden.