Business Manager bewerten die Informationssicherheit kritisch

Je stärker der Digitalisierungsgrad und die Komplexität der Vernetzung von Systemen steigen, desto mehr gelangen sie wegen steigender Risiken auch in den Fokus der Informationssicherheit. Auf diese Anforderungen scheinen die Unternehmen aktuell aus der Perspektive der Business Manager allerdings noch nicht ausreichend vorbereitet zu sein. Zu diesen Erkenntnissen kommt der branchenübergreifende Business Information Risk Index (BIRI) von Carmao.

Quelle: Carmao

Der BIRI will Auskunft über das Niveau des Informationssicherheitsniveaus im Business der Unternehmen geben. Sie befinden sich in einer kritischen Zone, wenn ein Wert von unter 75 ermittelt wird.

Analyse aus Perspektive der Geschäftsbereichsmanager

„Die Besonderheit des Business Information Risk Index besteht darin, dass für die Bewertung nicht wie üblich die Sichtweise der Sicherheitsexperten herangezogen wird, sondern die Analyse der Informationssicherheit erfolgt aus der Perspektive der Geschäftsbereichsmanager mit ihrem Bedarf an sicheren Infrastrukturbedingungen“, betont Carmao-Geschäftsführer Ulrich Heun.

Das Gesamtergebnis des BIRI 2017 zeigt, dass verschiedene Branchen eine deutlich unterdurchschnittliche Situation in der Informationssicherheit aufweisen. Dazu gehören insbesondere die Lebensmittelindustrie, der Handel und die Logistikwirtschaft. Allerdings weise der Finanzsektor als Branche mit dem höchsten Niveau an Informationssicherheit auch nur einen Index-Wert von 76,35 auf, er liegt damit nur knapp über der kritischen Grenze.

Informationssicherheit muss „gelebt werden“

In der Detailbetrachtung falle auf, dass zwar das empfundene Sicherheitsniveau im Vergleich zu anderen Aspekten relativ hoch bewertet wird, aber das wahrgenommene Risikobewusstsein im Unternehmen deutlich niedriger ist. Zu den bemerkenswerten Auffälligkeiten gehöre gleichermaßen, dass sich offensichtlich die Unternehmensführung im Regelfall nur zurückhaltend in Sachen Informationssicherheit positioniert und sie dieses Thema auch im Kontakt mit den Führungskräften der zweiten Ebene nur zurückhaltend diskutiert.

Hier sieht Heun auch eine zentrale Ursache für das von deutlichen Schwächen geprägte Sicherheitsniveau. „Solange die Informationssicherheit intern nicht hoch genug priorisiert und innerlich gelebt wird, mangelt es an einer ausreichenden Basis für die Prozesse und das Engagement in der Sicherheitsorganisation.“ Dass in der Hinsicht deutliche Defizite bestehen, zeigt sich auch an der geringen Mitwirkung der Mitarbeiter an den Strategien zur Informationssicherheit. So werden sie hierzu kaum fortgebildet oder über Awareness-Maßnahmen sensibilisiert.

Zu den kritischen Erkenntnissen der Analyse gehöre zudem, dass die Business-Abteilungen in den letzten 12 Monaten im Regelfall nicht frei von Sicherheitsvorfällen geblieben sind und Sicherheitsüberprüfungen offenbar nur sporadisch stattfinden.