IT-Risiken werden häufig zuerst mit Cyberangriffen verbunden.
Cybersecurity ist ein wichtiger Teil der Risikobetrachtung. Die tatsächliche Risikolandschaft eines Unternehmens ist jedoch deutlich größer.
Ein Server kann ausfallen. Ein Update kann Probleme verursachen. Eine Herstellerunterstützung kann enden. Eine Datenbank kann falsch konfiguriert sein. Eine zentrale Anwendung kann von einer einzelnen Person abhängen. Backups können vorhanden sein und sich im Ernstfall trotzdem als unbrauchbar erweisen.
Das BSI empfiehlt für Risikoanalysen ein strukturiertes Vorgehen aus Risikoidentifikation, Risikobewertung, der Bildung von Risikoszenarien und der Wahl geeigneter Risikostrategien.
Ein solches Vorgehen hilft Unternehmen, aus einem schwer greifbaren Thema konkrete Aufgaben zu machen.
Welche IT-Risiken gibt es überhaupt?
Ein Risiko-Assessment sollte verschiedene Ebenen der IT berücksichtigen.
Infrastruktur
Hierzu gehören beispielsweise:
- Serverausfälle
- Storage-Probleme
- Netzwerkstörungen
- Stromversorgung
- fehlende Redundanzen
- Hardware außerhalb von Wartung oder Garantie
Betriebssysteme
Risiken entstehen beispielsweise durch:
- fehlende Updates
- veraltete Versionen
- fehlerhafte Konfigurationen
- nicht mehr unterstützte Systeme
Datenbanken
Hier können Performance, Verfügbarkeit, Backup, Berechtigungen und Konfiguration zu Risiken führen.
Applikationen
ERP, DMS, EDI, Online-Shop und weitere Fachanwendungen besitzen eigene Abhängigkeiten und Releasezyklen.
Clients und Benutzer
Auch Endgeräte, Zugriffsrechte, Fehlbedienungen und unzureichende Sicherheitsmaßnahmen gehören zur Risikolandschaft.
Das BSI weist ebenfalls darauf hin, dass Risiken weit über vorsätzliche Angriffe hinausgehen und beispielsweise organisatorische Mängel, menschliche Fehlhandlungen und technisches Versagen umfassen.
Risiko bedeutet nicht automatisch Krise
Ein identifiziertes Risiko muss zunächst bewertet werden.
Dafür können Unternehmen beispielsweise zwei Fragen stellen:
Wie wahrscheinlich ist der Eintritt?
Welche Auswirkungen hätte das Ereignis?
Ein seltenes Ereignis kann aufgrund seiner möglichen Auswirkungen trotzdem kritisch sein. Ein häufig auftretendes Problem mit geringeren Auswirkungen kann ebenfalls hohe laufende Kosten verursachen.
Durch diese Bewertung entsteht Priorität.
Vom Risiko zur Maßnahme
Nach der Identifikation und Bewertung folgt die Entscheidung, wie mit dem Risiko umgegangen werden soll.
Mögliche Maßnahmen sind beispielsweise:
- Redundanzen aufbauen
- Systeme aktualisieren
- Wartungsverträge verlängern
- Backup-Konzepte anpassen
- Recovery testen
- Berechtigungen verändern
- Monitoring einführen
- Prozesse dokumentieren
- Wissen auf mehrere Personen verteilen
- Security-Maßnahmen ergänzen
Das BSI unterscheidet ebenfalls verschiedene Risikostrategien und beschreibt Risikoreduktion durch zusätzliche Schutzmaßnahmen oder Änderungen an Abläufen als eine zentrale Möglichkeit.
Warum die Auswirkungen auf Geschäftsprozesse dazugehören
Ein technisches Risiko lässt sich nur sinnvoll bewerten, wenn bekannt ist, welchen Geschäftsprozess es betrifft.
Der Ausfall eines Servers ist zunächst ein technisches Ereignis.
Liegt auf diesem Server jedoch das zentrale ERP-System, kann daraus ein Problem für Einkauf, Verkauf, Lager, Produktion und Buchhaltung entstehen.
Deshalb betrachten wir IT-Risiken immer im Zusammenhang mit den Prozessen, die von den jeweiligen Systemen abhängen.
Was Unternehmen durch ein IT-Risiko-Assessment gewinnen
Ein strukturiertes Assessment schafft:
- Transparenz über vorhandene Risiken
- Prioritäten für Investitionen
- bessere Entscheidungsgrundlagen
- klare Maßnahmen
- definierte Verantwortlichkeiten
- mehr Sicherheit
- mehr Kontrolle
IT-Risiken werden dadurch konkret und bearbeitbar.
Was esacom konkret leisten kann
esacom kann Unternehmen bei der strukturierten Aufnahme und Bewertung ihrer IT-Risiken begleiten.
Dabei betrachten wir die IT über mehrere Ebenen:
Infrastruktur → Betriebssystem → Datenbank → Applikation → Client
Zusätzlich betrachten wir Netzwerk, Security, Backup, Recovery, Herstellerabhängigkeiten, Wartung, Dokumentation und Betriebsprozesse.
Das Ergebnis kann in einem Risikoregister beziehungsweise Maßnahmenplan festgehalten werden. Risiken werden beschrieben, bewertet, priorisiert und mit konkreten Maßnahmen versehen.
Durch unser Portfolio aus Infrastruktur, Rechenzentrum, Managed Services, Cybersecurity, Backup, Netzwerk, Datenintegration und Applikationsverständnis können wir anschließend auch bei der Umsetzung der priorisierten Maßnahmen unterstützen.
Fazit
IT-Risikomanagement schafft Übersicht.
Unternehmen müssen nicht jedes denkbare Risiko vollständig ausschließen. Sie sollten ihre relevanten Risiken kennen, deren Auswirkungen verstehen und bewusst entscheiden, welche Maßnahmen erforderlich sind.
Genau dadurch wird aus einem großen und schwer greifbaren Thema ein steuerbarer Prozess.