Risiken managen

Es gibt Szenarien, die sind ein Albtraum für jeden Sicherheitsbeauftragten. So haben die Engländer kürzlich gezeigt, wie man nicht mit vertraulichen Daten umgehen sollte: der Verlust zweier CDs mit vertraulichen Daten wie Adressen, Versicherungsnummern und Bankverbindungen von mehreren Millionen Kindergeldempfängern hat Ende 2007 neben Kopfschütteln, Schadenfreude und Unverständnis auch für die erste Krise der frisch inthronisierten Regierung Brown gesorgt. Zudem haben Umfragen zufolge Fahrgäste in nur einem halben Jahr sage und schreibe 55.000 Mobiltelefone, 5.000 Handhelds, 3.000 Notebooks und 900 USB-Sticks in Londoner Taxis liegen lassen. Auf einer Vielzahl dieser Geräte und auf den verloren gegangenen CDs befanden sich vertrauliche, unternehmenskritische und interne Informationen. Diese können für die Unternehmen genauso wie für die Kindergeldempfänger einen erheblichen Schaden anrichten, wenn sie in falsche Hände geraten.

Finanzdienstleistungen sind Vertrauenssache

Speziell, wenn es um Unternehmen aus der Finanzdienstleistungsbranche geht, reagieren Kunden auf Meldungen wie diese sehr sensibel. Denn Finanzdienstleistungen sind Vertrauenssache. Die Kunden erwarten von den Instituten, dass Informationen und persönliche Daten, die sie ihrer Bank oder Versicherung zur Verfügung stellen, vertraulich behandelt und sicher vorgehalten werden. Finanzdienstleister arbeiten heute global und sind dabei vom dynamischen Zugriff auf diese Informationen abhängig. Die Menge der digitalen Daten nimmt jedoch ständig zu, häufig verlassen Daten zudem über Laptops, USB-Sticks, PDAs oder per E-Mail – nicht nur im Taxi – den Bereich der gesicherten Informationsinfrastruktur und werden von verschiedenen internen und externen Nutzern verarbeitet. Nicht nur in diesem Zusammenhang birgt der Umgang mit Informationen Risiken. Auch innerhalb des Unternehmens müssen geschäftskritische Daten so vorgehalten werden, dass sie gegen gewollten oder ungewollten Missbrauch, Verlust oder Beschädigung geschützt sind. Zudem müssen die Unternehmen gewährleisten, dass die Compliance-Richtlinien eingehalten werden.

Für Finanzdienstleister ist daher ein umfassendes Risikomanagement von zentraler Bedeutung. Dazu gehört zum einen die Schulung und Sensibilisierung der Mitarbeiter für den richtigen Umgang mit vertraulichen Informationen. Zum anderen ist eine informationszentrierte Strategie notwendig, die effektive Mittel zur Erkennung, Bewertung und Minderung der Risiken bereitstellt, denen Informationen über ihren gesamten Lebenszyklus hinweg ausgesetzt sind. Eine solche Strategie dient dazu, den Zugriff auf Informationen zu regulieren und sowohl innerhalb der eigenen Infrastruktur als auch im Austausch mit Partnern und Kunden Diebstahl, Verlust und Missbrauch zu verhindern. Mit einer gezielten Information Risk Management Strategie können Finanzdienstleister diese Risiken minimieren und gleichzeitig Kosten sparen, ihre Ressourcen und Geschäftsprozesse schützen und dafür sorgen, dass behördliche und juristische Anforderungen eingehalten werden. Dies ist Vorraussetzung für eine erfolgreiche Geschäftstätigkeit und dauerhaftes Vertrauen der Kunden.

Verfügbarkeit ohne Sicherheit ist wertlos

In Zeiten von Internet und Online-Banking müssen die Angebote und Dienstleistungen von Finanzunternehmen rund um die Uhr verfügbar sein. Neben den Kunden greifen auch Mitarbeiter immer häufiger von unterwegs oder von zu Hause auf Unternehmensdaten zu. Mindestens genauso wichtig wie die Verfügbarkeit ist jedoch die Sicherheit dieses Zugriffs. Da in Unternehmensnetzwerken gespeicherte Informationen zu den wichtigsten Ressourcen einer Firma zählen, muss gewährleistet sein, dass nur Berechtigte Zugriff auf diese Informationen haben. Die Nutzung statischer Passwörter ist in diesem Zusammenhang nicht mehr ratsam. Abhilfe schaffen jedoch Lösungen wie eine Zwei-Faktor-Authentifizierung, die eine wesentlich sicherere Benutzer-Authentifizierung ermöglichen. Für den Remote- und internen Zugriff werden die Identitäten von Personen überprüft, bevor diese auf Ihre IT-Ressourcen zugreifen können. Dies bietet mehr Flexibilität bei der Wahl des Arbeitsorts und unterstützt bei Ausfällen die Weiterführung der Geschäftsprozesse.

Compliance leicht gemacht

Finanzdienstleister in aller Welt sind für die Zuverlässigkeit ihrer Sicherheitssysteme und die Gesetzeskonformität ihrer Audit-Daten verantwortlich. Die Infrastrukturen und Betriebsabläufe der meisten Institute sind jedoch komplex und in hohem Maße verteilt, so dass die Protokollierung eine große Herausforderung darstellt. Der Druck, die Compliance mit internen und externen Bestimmungen nachzuweisen, kann zur Blockierung und Komplizierung geschäftlicher Abläufe führen und damit die Betriebskosten in die Höhe treiben. Laut Gesetz müssen bestimmte Anwendungs- und Audit-Daten über lange Zeiträume aufbewahrt werden. Mithilfe einer Informationsmanagement-Plattform können Event-Daten in nutzbare Compliance- und Sicherheitsinformationen transformiert werden. Ein Sicherheitsinformations- und Ereignismanagement ist für Firmen mit einer unternehmenskritischen IT-Infrastruktur und Compliance-Auflagen daher unentbehrlich geworden.

Vertrauen der Kunden ist essenziell für das Geschäft

Kunden erwarten, dass ihre persönlichen Daten sicher sind und vertraulich behandelt werden. Für Verfehlungen wie die eingangs genannten haben sie daher mit Recht nur sehr wenig Verständnis. Gleichzeitig schätzen Kunden die Einfachheit von Online-Self Services, fürchten aber auch die Sicherheitsrisiken, die bei Transaktionen über das Internet bestehen. Zudem schreiben Aufsichtsbehörden hohe Sicherheitsmaßnahmen für Finanzinstitute vor, die Online-Transaktionen wie Online-, Telefon- und Multi-Channel-Banking anbieten. Daher ist es für Finanzdienstleister essentiell, die Vertrauenswürdigkeit und Sicherheit Ihrer Online-Kanäle sicherzustellen. Sie können dies beispielsweise durch den Einsatz von Betrugserkennungs- und Managementlösungen schaffen, die über risikobasierte Authentifizierung für Online und Telefon, Online-Authentifizierung zwischen Standort und Nutzer, Transaktionsüberwachung, Transaktionssignierung und Anti-Phishing-/Anti-Pharming-Services verfügen.

((6.204 Zeichen))