Compliance ist keine Garantie für Sicherheit


Regelerfüllung statt Risikoprophylaxe: Es ist zu kurz gedacht, wenn Unternehmens- und IT-Chefs sich damit begnügen, alle vorgeschriebenen Compliance-Regeln zu befolgen und meinen, damit auf der sicheren Seite zu sein
Compliance kann sogar Sicherheitsstrukturen im Wege stehen, die ja flexibel jede neue Situation berücksichtigen sollen


(13.07.12) - In Kommentar weist der unabhängige Sicherheitsexperte Hartmut Goebel vom Goebel Consult auf das häufige Missverständnis bei Unternehmen hin, die das Einhalten von Compliance-Regeln mit Sicherheit gleichsetzen. Compliance sei keine Garantie für Sicherheit, so Goebel. Goebel kommentiert im Folgenden:

"Compliance ist ein viel bemühter Begriff in der IT-Security-Branche: Compliance-Officer, Security-Anbieter und Wirtschaftsberater preisen Compliance als Wundermittel gegen Bedrohungsszenarien jeder Art, egal ob aus dem Internet, durch Korruption oder unachtsame Mitarbeiter. Und die Geschäftsführer nicken teure Compliance-Maßnahmen ab - aus diffuser Angst um ihre Sicherheit und vor gesetzlichen Repressalien. Der Reality-Check, ob das Unternehmen durch diese Maßnahmen wirklich sicherer wird, bleibt auf der Strecke.

Es ist zu kurz gedacht, wenn Unternehmens- und IT-Chefs sich damit begnügen, alle vorgeschriebenen Compliance-Regeln zu befolgen und meinen, damit auf der sicheren Seite zu sein. Compliance bedeutet erst einmal lediglich, Regeln zu erfüllen, die von der Industrie, von Verbänden, Banken, Versicherungen oder dem Gesetzgeber aufgestellt wurden - etwa der Sarbanes-Oxley Act (SOX) von der US-Regierung, PCI-DSS von der Kreditkartenindustrie, Basel III von der Bank für Internationalen Zahlungsausgleich und so weiter. Ein Unternehmen, das 'compliant' ist, hat bisher genau ein einziges Risiko ausgeschlossen: Den Verstoß gegen diese von Dritten aufgestellten Regeln.

Compliant sein, heißt also noch lange nicht, sicher sein
Es drohen andere und weit existentiellere Risiken für ein Unternehmen, als nur 'non-compliant' zu sein: Dazu gehört an vorderster Stelle der Verlust von Geschäftsgeheimnissen, Diebstahl persönlicher Kundendaten oder auch die Beschädigung von Ansehen. Nicht zuletzt müssen Unternehmen innovativ bleiben und schnell auf Marktgegebenheiten reagieren können, um mitbewerbsfähig zu bleiben.

Lesen Sie zum Thema "IT-Sicherheit" auch: IT Seccity.de (www.itseccity.de)

Eine regelgerechte Compliance hilft dabei aber nicht. Im Gegenteil, sie kann sogar Sicherheitsstrukturen im Wege stehen, die ja flexibel jede neue Situation berücksichtigen sollen. 'Compliant sein' bedeutet nämlich auch Schwerfälligkeit und Langsamkeit, denn jeder Prozess und jede Veränderung muss daraufhin geprüft werden, ob alle Regeln eingehalten werden. Der Hype um Compliance führt dazu, dass komplette Security-Budgets in teure Compliance-Maßnahmen gesteckt werden, die der konkreten Sicherheit des Unternehmens wenig dienlich sind. Hauptsache ist, der Wirtschaftsprüfer bescheinigt beim Jahresabschluss, die Compliance des Unternehmens. Ob die für das Unternehmen relevanten Sicherheitsrisiken berücksichtigt und mit passgenauen Sicherheitsmaßen abgedeckt sind, schenken CEOs weit weniger Beachtung.

Sicherheit ist individuell
Keine Frage, bestimmte Geschäftsmodelle sind zwangsläufig darauf angewiesen, Compliance-Anforderungen zu befolgen: Wenn etwa daran eine Zulassung hängt, wie an PCI-DSS für Anbieter von Kreditkarten oder die Erfüllung von Basel III-Kriterien die Kreditwürdigkeit beeinflusst. Es empfiehlt sich jedoch, genau zu prüfen, ob und in welchem Maße das eigene Unternehmen Compliance-Vorschriften nachkommen muss - oder aber, ob der Compliance-Vorwand nicht nur als Geschäftsführerschreck und Honorarmaschinerie für Unternehmensberater und Security-Anbieter angeführt wird.

Wichtiger als Compliance-Anforderungen akribisch zu erfüllen, ist für die meisten Unternehmen, ein Sicherheitskonzept zu entwickeln, das wirklich passgenau auf die eigenen Ansprüche zugeschnitten ist.

Dafür müssen sie sich folgende Fragen stellen:
>> Was sind eigentlich unsere 'schützenswerten Informationen' - Patente, Kunden- und Buchhaltungsdaten, Produktionsprozesse?
>> Was sind die Risiken? Was passiert, wenn diese Informationen in fremde Hände gelangen oder verloren gehen?
>> Welche Maßnahmen sind nötig, um diese Unternehmenswerte wirksam zu schützen?
>> Was wird bereits getan, um diese Informationen zu schützen?

Wer schützenswerte Informationen besitzt, braucht einen Mitarbeiter der sich explizit um Informationssicherheit kümmern kann. Für ein erstes Sicherheitskonzept unterstützen idealerweise externe Sicherheitsberater, die die nötigen Strukturen aufbauen und dabei helfen eigene, interne Kräfte zu qualifizieren, damit sie diese Aufgaben übernehmen können. Kleinere Firmen ohne eigene personelle Ressourcen sind gut beraten, einen externen Sicherheitsbeauftragen langfristig zu beauftragen, so wie es heute mit einem Datenschutzbeauftragten üblich ist." (Hartmut Goebel, Goebel Consult: ra)

Goebel Consult: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Kommentare und Meinungen

  • Hochkompetent, verantwortungsvoll, unabhängig

    Die Deutsche Vereinigung für Datenschutz e.V. (DVD), eine seit über 40 Jahren aktive Bürgerrechtsorganisation, hat mit größtem Befremden zur Kenntnis genommen, dass die Bundesregierung bis heute immer noch keine Verlängerung der Amtszeit des amtierenden Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) Ulrich Kelber in Aussicht gestellt hat.

  • VdK-Präsidentin: "Riester-Rente ist gescheitert"

    Der Bundesgerichtshof (BGH) hat eine Sparkassen-Klausel zu Riester-Abschlusskosten für unwirksam erklärt. Die Bank hatte Sparerinnen und Sparer nicht über alle Kosten des Riester-Vertrags informiert und dann zu Beginn der Auszahlphase einen Nachschlag verlangt.

  • Gesetzliche Verpflichtung zu Barrierefreiheit

    Zur Anhörung zur Antidiskriminierungsstelle des Bundes und dem Allgemeinen Gleichbehandlungsgesetz (AGG) erklärt VdK-Präsidentin Verena Bentele: "Gerne erinnere ich das Bundesjustizministerium (BMJ) an den gemeinsamen Plan im Koalitionsvertrag, das Allgemeine Gleichstellungsgesetz umfassend zu novellieren. Hier müssen endlich klare gesetzliche Regelungen geschaffen werden, die privaten Anbieter von Gütern und Dienstleistungen zur Barrierefreiheit verpflichten. Trotz Absichtserklärungen und Ankündigungen hat das für das AGG zuständige Bundesjustizministerium bisher nichts vorgelegt."

  • Gesammelte Kommentare zur US "AI Executive Order"

    Am 30. Oktober 2023 hat US-Präsident Joe Biden die "AI Executive Order" erlassen. Hier sind die wichtigsten Erkenntnisse der Verordnung auf einen Blick.

  • Regulierung von Foundation Models

    Zur Debatte über eine mögliche Verzögerung beim EU AI Act, mit dem die Entwicklung und Anwendung von Künstlicher Intelligenz in Europa reguliert werden soll, erklärt Bitkom-Präsident Dr. Ralf Wintergerst: "Der AI Act ist die wohl wichtigste Entscheidung, die Europäisches Parlament und Kommission derzeit auf der Agenda haben."

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen