Deloitte "2007 TMT Global Security Survey"

Wie steht es um die Sicherheit von TMT-Unternehmen?

16-1-2008 | Channel: Security

Die rasanten Entwicklungen im Bereich digitaler Information stellen eine tägliche Herausforderung für die Informationssicherheit in TMT-Unternehmen (TMT = Technology, Media & Telecommunication) dar. Eine aktuelle Deloitte-Studie zeigt den starken Handlungsbedarf: den notwendigen Einsatz entsprechender Technologie sowie die Einführung von Prozessen, um auf Sicherheitsbrüche zu reagieren und nicht zuletzt den Mangel an ausgebildeten Fachkräften.

Deloitte führte nun schon zum zweiten Mal eine eingehende Umfrage zur Sicherheitspraxis in mehr als 100 TMT-Organisationen weltweit durch. Unter den Befragten befanden sich Unternehmen aus allen drei Bereichen Technology, Media & Telecommunication, davon fast die Hälfte mit einer Unternehmensgröße von 5.000 bis 50.000 Mitarbeitern und einem Ertrag zwischen 1 Mrd. und 10. Mrd US-Dollar.

Der „2007 TMT Global Security Survey“ zeigt, dass die Mehrzahl der Unternehmen aus dem TMT-Bereich bei den Themen Sicherheit und Datenschutz nicht voran schreitet. Trotz gesteigerter Investitionen in die Sicherheit halten die meisten mit den wachsenden Bedrohungen "bloß" Schritt. Um aber Probleme vorhersehen und ihnen wirksam begegnen zu können, müssen Unternehmen ihre Bemühungen und Investitionen erhöhen.

Betriebsinterne Bedrohung am höchsten

Die Deloitte-Studie zeigt deutlich, dass TMT-Unternehmen nicht ausreichend für etwaige Sicherheitskrisen gewappnet sind. 69% der Befragten geben an, dass sie von ihrer Leistungsfähigkeit in Bezug auf Sicherheitsherausforderungen von außen „sehr überzeugt“ bzw. „außerordentlich überzeugt“ sind. Allerdings zeigen nur 59% dieses Vertrauen, wenn es um interne Bedrohungen geht.

Ein wichtiger Aspekt, der leider immer noch zu wenig beachtet wird, ist die mangelnde Sensibilisierung der eigenen Mitarbeiter auf den Umgang mit Daten und Informationen. Diese Tendenz bestätigt Georg Krause, Deloitte Managing Partner der Technology, Media & Telecommunications (TMT) Branchengruppe: „Die gefährlichsten Bedrohungen kommen aus dem internen Bereich. Das ist eine Gefahr, die die meisten Unternehmen kontrollieren könnten.“

Falsche Sicherheit?

Die Studie macht deutlich, dass TMT-Unternehmen zwar zusätzlich zu materiellen Gütern auch Information als Vermögenswert betrachten, jedoch weiterhin als getrennte Bereiche behandeln.TMT-Unternehmen wiegen sich möglicherweise in falscher Sicherheit - insbesondere bei den Themen Lizenzverwaltung, Gefahren durch mobile Arbeitnehmer sowie der Unterscheidung von materieller Sicherheit und Informationssicherheit.

Martin Novak, Deloitte Manager Security & Privacy Services und Leiter der Studie in Österreich erklärt die Situation eingehender: "Die zentralen Assets eines Unternehmens sind einerseits das im Unternehmen verfügbare Wissen, das in Form von gespeicherten Daten und Informationen oder als „Know-how“ der Mitarbeiter vorhanden ist und andererseits die vorhandene IT-Infrastruktur, um die Daten zu verarbeiten. Die Angriffsszenarien gehen dabei schon längst über die klassischen Eindringversuche von Außen durch Schwachstellen in der Netzwerkinfrastruktur hinaus. Heute stellen Angriffe über schlecht konzipierte Applikationen eigentlich den Normalfall dar."

TMT-Unternehmen sind gefordert, die vielfältigen Risiken von Sicherheitsbrüchen – wie z.B. Identitätsdiebstahl, Datenverlust, Kontenmissbrauch und Phishing – zu vermeiden. In Hinblick darauf untersucht die Studie eingehend, wie viele Unternehmen Organisationsrichtlinien dafür implementiert haben. Die meisten Teilnehmer (82%) haben bereits Richtlinien in Kraft gesetzt und weitere 3% planen, dies innerhalb der nächsten zwei Jahre zu tun. Nur 6% der Unternehmen implementieren keine Richtlinien und beabsichtigen auch nicht deren Einführung.

Martin Novak verdeutlicht die Wichtigkeit, entsprechende Maßnahmen zu ergreifen: "In der Technologiebranche bedeutet der Informationsvorsprung alles. Bestehen hier Sicherheitslücken beim Schutz der eigenen Entwicklungen, kann das für ein Unternehmen fatal enden."

Sicherheitsbeauftragte noch nicht Standard

Es gibt mehrere Faktoren, warum sich Unternehmen gegen Organisationsrichtlinien im Bereich Informationssicherheit entscheiden. Einer davon ist, dass „Chief Information Security Officers“ (CISOs) immer noch nicht Standard in TMT-Unternehmen sind und in diesem Bereich auch ein Mangel an Fachkräften besteht. Die Anzahl der CISOs in den Unternehmen ist zwar im letzten Jahr von 57% auf 65% angestiegen, der Bericht zeigt aber, dass nur 13% der CISOs seit über zehn Jahren in dieser Funktion tätig sind - im Gegensatz zu 39% mit drei bis fünf Jahren Erfahrung. "Motivierte und in Sicherheitsfragen geschulte Mitarbeiter sind das größte Sicherheitskapital eines Unternehmens", ergänzt Martin Novak.

Eine weitere Voraussetzung für effektive Informationssicherheit ist die Einführung einer Sicherheitsstrategie, die sich an der Unternehmensstrategie und den Unternehmensbedürfnissen orientiert. 54% der befragten Unternehmen haben bereits eine formale Strategie zur Informationssicherheit, so die Deloitte-Studie. Weitere 20% beabsichtigen die Implementierung innerhalb der kommenden zwei Jahre. Darüber hinaus betrachten 17% der Unternehmen eine fehlende Strategie in diesem Bereich als eines der größten Hindernisse, um Informationssicherheit zu erreichen.

Link zur Studie