Buchkritik: IT-Sicherheit organisieren

Public Clouds, immer höhere Datenaufkommen, neue Bedrohungen und Gesetzesänderungen: Genug Anlässe für Unternehmen, ihre IT-Sicherheitskonzepte zu überprüfen.

08:00 Uhr

Lesezeit: 2 Min.

c't Magazin

Von

Maik Schmidt

Thomas Harich doziert und berät zum Thema IT-Sicherheitsmanagement. Er ist keinesfalls ein reiner Theoretiker, aber mit seinem dicken Buch wendet er sich eher an Manager in Unternehmen als an Admins oder Pentester. Das bedeutet, die konkrete Technik spielt eine untergeordnete Rolle; es geht primär um die organisatorischen Aspekte. Die aktualisierte vierte Auflage orientiert sich an den rechtlichen Normen, die derzeit insbesondere in der EU gelten.

Trotz aller Standards, die Aufgaben und Alltag von IT-Security-Managern prägen, ist ihre Rolle in mancherlei Hinsicht schwammig. Ihre konkreten Berufsbezeichnungen, die oft den Begriff Cybersecurity enthalten, variieren je nach Unternehmensgröße und Branche. Ihr Arbeitsgebiet reicht von IT-Governance über IT-Compliance bis zum IT-Risikomanagement. Der Autor stellt all diese Bereiche vor.

Im Kern geht es für einen IT-Manager darum, Richtlinien zu schaffen, Prozesse einzurichten sowie Verantwortungsbereiche und Kompetenzen zu definieren. Unternehmen benötigen all das, um beispielsweise schnell und effizient auf Sicherheitsvorfälle reagieren zu können. Definierte Prozesse sind aber auch wichtig, um präventiv gegen Spionage vorzugehen und ein sinnvolles Risikomanagement einzurichten. Letzteres ist beispielsweise unabdingbar, wenn es darum geht, selbst unter Druck den Geschäftsbetrieb aufrechtzuerhalten.

Thomas Harich blickt bei diesen Themen fast ausschließlich durch die Brille der IT-Sicherheit. Nur am Rande behandelt er auch andere Aspekte wie etwa die physische Sicherheit von Gebäuden. Seine Überlegungen berücksichtigen den IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI), die ISO/IEC 27001 und weitere dazugehörige Standards.

Das macht dieses Buch doppelt wertvoll, denn die vorgestellten Prozesse und Maßnahmen erhöhen nicht nur die Sicherheit, sondern der Leser vertieft zugleich sein Verständnis für die Materie, um potenzielle Audits und Zertifizierungen zu bestehen.

Das Buch eignet sich gleichermaßen als Einführungslektüre wie als Nachschlagewerk. Seine Kapitel lassen sich weitgehend unabhängig voneinander studieren; es nützt nicht nur Managern, sondern jedem, der sich für organisierte IT-Sicherheit interessiert.