Informationssicherheit braucht mehr als Technologie: Ein persönlicher Blick von Thomas Seiler, CISO bei CANCOM Austria

Informationssicherheit im Unternehmen: Warum Sicherheit mehr ist als Technologie

Unter dem Dachbegriff „Informationssicherheit“ fällt bekanntlich eine Vielzahl von Einzelaspekten – von der IT-Security bis zur Absicherung kritischer Infrastrukturen. Die meisten Unternehmen, Behörden, Institutionen und Organisatoren sind inzwischen sensibilisiert, wenn es um Informationssicherheit geht. Das war nicht immer so. Doch jetzt nimmt man die Notwendigkeit entsprechender Maßnahmen ernst, nicht zuletzt angetrieben von den zahlreichen nationalen und europäischen Regularien, die hier den großen Rahmen setzen und Handlungsvorgaben definieren. „Bei CANCOM wird das Thema Informationssicherheit durchgängig gelebt und vorangetrieben“, so Thomas Seiler. Wir sind vertrauensvoller Partner unserer Kunden, etwa wenn es darum geht, Regularien im Zusammenhang mit der Informationssicherheit umzusetzen, erklärt Seiler. Informationssicherheit ist immer ein Spagat zwischen Usability und Security. Das eine geht nicht ohne das andere, und umgekehrt. Es kommt darauf an, den optimalen Weg, die besten Mittel, die zukunftssichersten Lösungen zu finden und zu etablieren. Welche Lösung wo und wie eingesetzt wird, hängt von vielen Faktoren ab. Besonders wichtig ist Informationssicherheit natürlich bei den kritischen Bereichen: Energieversorgung, Gesundheitswesen und so weiter. Diese grundlegenden Services und Einrichtungen mit ihren komplexen Prozessen und gesetzlichen Vorgaben müssen immer funktionieren und immer verfügbar sein, Ausfälle oder Datenverluste darf es hier nicht geben.

Von der Regulierung zur Umsetzung!

Vom Gesetzestext bis zur Umsetzung der dort definierten Anforderungen ist es oft ein weiter Weg. Hier sehe ich meine Aufgabe: Wie muss ich diese Vorschrift angepasst an die jeweiligen Anforderungen unserer Kunden interpretieren? Wie komme ich auf dieser Basis zu den optimalen Lösungen? Wie kommen wir konkret zu einer nachhaltigen strategischen und technischen Integration dessen, was abstrakt im Gesetzestext oder in den Normen steht? Wie bewerte ich das Ganze? Wie hoch ist der Security-Reifegrad des Unternehmens? Welches Risiko gibt es? Wie kritisch sind die Systeme? Einen „0815-Server“ ohne kritische Daten, werde ich anders schützen müssen als einen Server, der meine Firmendaten beinhaltet, meine Kronjuwelen, der meine komplette Infrastruktur oder Produktion steuert. Auch von uns selbst verlangen wir ein Höchstmaß an Gesetzes- und Normentreue und Verlässlichkeit, und das erwarten unsere Kunden zu Recht von uns. Wir sind ein kritischer Lieferant und Dienstleister. Wer sich für uns entscheidet, kann sich auf unser Wissen, unsere Expertise und eine produktive Zusammenarbeit verlassen. Denn Informationssicherheit ist ein wechselseitiger Prozess, mit einer partnerschaftlichen, auf Synergien, Integration, Zukunftssicherheit und Transparenz ausgerichteten „Verzahnung“ der Strategie, der Interessen, der Lösungen. Für uns ist die Umsetzung von ISO 27001 und NIS2 in anwenderorientierte Lösungen keine Rocket Science. Wir starten nicht von Null, sondern waren und sind schon immer Dienstleister im besten Sinne des Wortes, und unsere Kunden erwarten von uns, dass wir diese Dinge beachten und umsetzen können. Antizipation gehört zu unseren Stärken: Wir warten nicht erst, bis eine Vorschrift schwarzweis vor uns liegt, wir denken voraus und sind bereit für die Umsetzung. Dabei sehe ich Standards und die Zentralisierung unserer Kompetenzen als einen massiven Umsetzungshebel. Das ist auch ein Kern unseres Security Policy Frameworks, an dem wir uns strategisch orientieren und die entsprechenden Konzepte und Umsetzungen an unsere Kunden weitergeben.

Zusammen arbeiten und zusammenarbeiten!

Lassen Sie mich am Schluss noch ein kurzes Fazit ziehen. Bei der Informationssicherheit kommt es, vielleicht mehr noch als in anderen Bereichen, darauf an, offen, transparent, konstruktiv und produktiv zusammenzuarbeiten. Es geht um Vertrauen, nicht nur in die Systeme, sondern vor allem auch zu den Lieferanten, zur Lieferkette in Summe. Das ist der kritische Punkt, auf den wir unser besonderes Augenmerk richten sollten. Informationssicherheit ist immer Risikomanagement. Informationssicherheit kann aufwändig und anstrengend sein, und sie kostet auch etwas. Aber es lohnt sich. Unsicherheiten und Risiken kann sich niemand leisten. Wir von CANCOM haben die Erfahrung, Kompetenz und die Experten- Teams, die Sie und uns in Sachen Informationssicherheit voranbringen. Als CISO stehe ich Ihnen jederzeit für einen Gedankenaustausch und Gespräche zur Verfügung. Wir packen das, am besten gemeinsam.

Thomas Seiler, Jahrgang 1990, CANCOM CISO, ist seit Juni 2014 im Unternehmen, zunächst bei Kapsch BusinessCom als First Level Supportler und hat sich schließlich zum CISO entwickelt. Seine Zukunftsorientierung zeigt sich bereits in seiner Masterarbeit mit dem Thema Quantenkryptographie. Thomas ist CRISAM-Expert, CISM- und CISA-zertifiziert und hat einen Abschluss in Professional MSc Management und IT-Spezialisierung Information Security Management.