Fazit

Berthold Model von Schleupen fasst seine Erfahrungen in drei Erkenntnissen zusammen.

Erstens: „Informationssicherheit verfolgt das Ziel, Informationen jeglicher Art und Herkunft zu schützen. Eins muss man sich jedoch bewusst sein: Absoluten Schutz gibt es nicht.“

Zweitens: „Es ist wichtig zu begreifen, dass Informationssicherheit kein stabiler Zustand ist, sondern eine permanente Aufgabe.“

Drittens: „Die Einführung eines ISMS allein garantiert noch keinen hohen Schutz. Nur wenn die Mitarbeiter die Informationssicherheit wirklich leben, kann ein angemessenes Maß an Sicherheit erreicht werden.“

Auch PSW-Geschäftsführer Heutger betont, dass ein ISMS trotz all seiner organisatorischen Maßnahmen allein keine Wunder bewirken könne: „ISMS können helfen, risikobasierte Entscheidungen zu treffen, strukturiert und organisiert die Informationssicherheit sowie das notwendige Investment in selbige zu managen, Verantwortlichkeiten zu regeln, aus Fehlern zu lernen und sich kontinuierlich den Gegebenheiten anzupassen und sich zu verbessern. Ein ISMS garantiert aber keine hundertprozentige Sicherheit, es kann, will und wird das nie tun, sondern dass das Bestmögliche getan wird.“

Das Bestmögliche kann dabei auch völlig untechnisch daherkommen, wie ein Blick in die dreizehnte Ergänzungslieferung zum IT-Grundschutz von 2013 klarmacht. Abschnitt M 2.21 (M steht für Maßnahme) regelt das Rauchverbot. Seine Initiierung wird dem „Leiter Haustechnik“ zugeschrieben, als verantwortlich für die Umsetzung werden die Mitarbeiter erklärt. Sinn und Zweck erklärt der IT-Grundschutz so: „Auch in Gebäuden, in denen kein umfassendes Rauchverbot herrscht, muss sichergestellt werden, dass in Räumen mit IT oder Datenträgern (Server-Raum, Datenträgerarchiv, aber auch Belegarchiv), in denen Brände oder Verschmutzungen zu hohen Schäden führen können, ein Rauchverbot erlassen wurde. Dieses Rauchverbot dient gleicherweise dem vorbeugenden Brandschutz wie der Betriebssicherheit von IT mit mechanischen Funktionseinheiten. Dabei muss sichergestellt werden, dass nicht als Folge eines Rauchverbots im Gebäude der Zutrittsschutz geschwächt wird. Es ist häufig zu beobachten, dass Außentüren in schwer einsehbaren Bereichen ständig offenstehen, weil der Nahbereich der Tür die Raucherzone bildet und die Tür aus Bequemlichkeit während der Arbeitszeiten nie geschlossen wird.“

Kurz: Was nützen die besten IT-Schutzfunktionen, wenn einfach die Tür offensteht?