Perspektivwechsel in der Sicherheit

Titelbild

Perspektivwechsel gefällig ?

Inspiriert von dem Bild habe ich mir Gedanken gemacht wann ich mich zuletzt, im übertragenen Sinn bezüglich meiner Arbeit, zufrieden zurückgelehnt habe, obwohl ich mich objektiv betrachtet nicht in dem eigentlich angestrebten Umfeld bewegte.

Häufig befindet man sich auch, wie die Schwimmer hier, in einem (Projekt-)Team oder einer Abteilung in guter Gesellschaft und ist sich einig über die vermeintlich komfortable Situation und die guten Ergebnisse.

❔

Dabei fällt keinem, aufgrund der gleichen Perspektive, überhaupt auf, dass man nicht die Ergebnisse erzielt die tatsächlich vom „Endkunden“ benötigt werden und man den Blick fürs große Ganze verloren hat.

⚠️

Wie falsch ich eine objektiv gute Situation oder Position eingeschätzt habe, habe ich bisher meist dann festgestellt, wenn jemand quasi, wie auf dem Bild, den Abzug betätigt hat oder, in der Realität, unvorhergesehene Ereignisse eingetreten sind.

Da tauchten plötzlich ganz andere Ursachen für Probleme auf, als die, die ich an der Oberfläche um mich herum angenommen hatte oder ich stellte fest, dass zur Abwendung von Schäden andere Warn- oder Schutzmechanismen erforderlich gewesen wären.

💡

Daher ist die Beschäftigung mit dem Thema der indivduellen Perspektive auf die eigene Arbeit und Positionierung zu übergeordneten Zielen interessant. Dabei liegt der Schwerpunkt in diesem Beitrag auf Personen, die für den Schutz der Unternehmenswerte wie Mitarbeiter, Reputation, Sachwerte und Informationen zuständig sind.

In Organisationen lässt sich in den meisten Fällen beobachten, dass die Zuständigen für die einzelnen Themen wie IT-Sicherheit, Risikomanagement, Krisenmanagement, Arbeitsschutz, … getrennt in ihren eigenen Becken schwimmen und daher weitgehend isoliert Maßnahmen planen und umsetzen.

Dabei wird eigentlich ein gemeinsames Ziel „Unternehmenssicherheit & Resilienz“ verfolgt, für dessen Erreichung ein ganzheitliches Konzept erforderlich ist.

Selten gibt es in Organisationen überhaupt eine Sicherheitsstrategie und –richtlinie die alle Themen zusammenfasst, Maßnahmen priorisiert und Zielkonflikte systematisch auflöst.

In der Praxis ist es beispielsweise so, dass viele IT-Sicherheitsexperten die Einrichtung von technischen und programmierbaren Sicherheitsmaßnahmen im System beherrschen, jedoch wenig Kenntnis über die Gruppe möglicher Täter, deren Motive und Ziele haben.
 
➡️ Diese Informationen liegen eher bei Security-Experten die sich explizit mit Risiken durch Dritte für eine Organisation befassen.
Um zielgerichtete Maßnahmen zu etablieren sind die Kenntnisse über die Angreifer und deren Anpassung an Sicherheitsmaßnahmen sowie ihre Methoden jedoch elementar.

❕Innentäter, die gezielt zugesendete verdächtige Links öffnen um dem Unternehmen zu schaden, müssen anders abgewehrt werden als externe Angreifer.

 Das Nebeneinander einzelner Fachexperten führt in der Sicherheit häufig zu unnötigen Sicherheitslücken, Doppelarbeit und Mehrkosten.

Wie bei dem abgebildeten Pool lässt sich aus der individuellen Aussicht der Schwimmer nicht ableiten wie die wahren Verhältnisse sind, dafür ist die Draufsicht notwendig. In der Realität fehlt meist der Bademeister der den Blick von oben auf die verschiedenen Becken hat und für einen reibungslosen Betrieb immer wieder steuernd eingreift.

Die wenigsten Unternehmen fassen alle Sicherheitsthemen in einer gemeinsamen Abteilung zusammen, umso wichtiger ist, dass jeder Einzelne in der Lage ist seinen Blick zu weiten, zu erkennen was das große Ganze ist und wie die eigene Position und Einflussmöglichkeiten genutzt werden können.

🔄

Neben diesem individuellen Prozess und der Ambition des Einzelnen, der mit Sicherheitsthemen betraut ist, am großen Ganzen zu arbeiten, ist die Forderung nach der gemeinsamen Arbeit am Ziel „Unternehmenssicherheit & Resilienz“ von der Unternehmensleitung und die objektive Beurteilung und Messung der einzelnen Beiträge (z.B. durch die Revision als Beckenrandspringer) elementar für den Fortschritt.

Um die zunehmend komplexen Anforderungen aus Bedrohungen durch Mensch, Technik und fehlerhafter Organisation zu verstehen und die passenden Lösungen entwickeln zu können, muss der Einzelne die Perspektiven anderer kennen, Mechanismen weiterer Disziplinen begreifen und abweichende Ansätze verstehen.

Dafür brauchen wir außerhalb der Unternehmen interdisziplinär angelegte Weiterbildungen und Konferenzen für Sicherheitsexperten der verschiedenen Disziplinen und in den Unternehmen institutionalisierte Zusammenarbeit statt loser Austauschrunden zwischen den angesprochenen Abteilungen.

Ein thematischer Schwerpunkt muss aus meiner Sicht in Zukunft auf der Vernetzung sowohl von Risikomanagement als auch IT-Sicherheit mit der klassischen Unternehmenssicherheit und ihren Bereichen Prävention, Bedrohungs- und Krisenmanagement liegen.

Wo schauen Sie heute mal über Ihren Beckenrand hinaus ?