Das
Risikomanagement in Unternehmen hat in den letzten Jahren immer mehr an
Bedeutung gewonnen. Anreize schaffen zum einen unternehmerische
Anforderungen wie z.B. IT-Sicherheitsbedarfe oder der Investorenschutz. Zum
anderen sorgen externe Anreize für eine Fokussierung auf dieses
Themengebiet. Dazu zählen gesetzliche Vorgaben (z.B. KontraG, Basel II, SOX
oder die kommende 8. EU-Richtlinie), regulatorische Vorgaben (z.B. GoBS)
oder auch vertragliche Verpflichtungen (z.B. Zertifizierungsverpflichtung
gegenüber Kunden).
Die in diesem Buch
dargestellte Vorgehensweise beschäftigt sich primär mit einer Untergruppe
des Risiko-Managements, dem IT-Risiko-Management. Anschaulich,
prozessorientiert und eingebettet in den größeren Zusammenhang von Corporate
Governance und Enterprise Risk Management wird dem interessierten Leser ein
Rahmen vorgegeben, welchen er in seinem eigenen Unternehmen nutzen kann.
Der Autor geht
analytisch vor: Beginnend mit einer Einführung in das allgemeine
Risikomanagement (Elemente und die Umsetzung im Prozessmodell) im Teil A
wird der Leser mit den diversen Anforderungen vertraut gemacht (Teil B). In
Teil C wird dann auf die spezielle Rolle der Informationen im betrieblichen
Prozess eingegangen, deren Wichtigkeit herausgearbeitet und ein
organisatorisches Modell erstellt, um diese effizient zu schützen. Dies
geschieht zum einen unter Einbeziehung von Frameworks (z.B. ISO/IEC 27001,
CobiT oder IT-Grundschutz), als auch durch Aufzählen diverser Methoden und
Werkzeuge (z.B. die Fehlerbaumanalyse oder die CRAMM-Methode). Im letzten
Teil D beschreibt der Autor, wie man das IT-Risiko-Management in die
übergeordneten Risiko-Management-Prozesse integriert. Weiter zeigt er die
Wichtigkeit eines ausgereiften Business Continuity Management (BCM) auf.
Muster und Beispielformulare runden das Buch ab.
Fazit:
Das vorliegende Werk erscheint in der auf IT Security spezialisierten
Reihe <kes> Edition beim Vieweg Verlag. Diese Reihe
zählt zu den besten Informationsquellen im Bereich IT und Information
Security. Das Buch bietet sehr gute Ansätze, wie man ein proaktives, in den
unternehmerischen Gesamtkontext eingebettetes IT-Risiko-Management betreiben
kann. Es ist von der Struktur logisch aufgebaut und tatsächlich sehr
praxisorientiert.
Darin liegt aber
auch die Crux des Buches: Ein Leser, welcher diese Materie noch nicht in der
Praxis gesehen hat, wird es sehr schwer haben, sich anhand der beschriebenen
Vorgehensweise ein konkretes Bild zu machen davon, wie man
IT-Risiko-Management korrekt betreibt. Der Gesamtzusammenhang verschwimmt an
vielen Stellen und der rote Faden ist nur bedingt erkennbar. Somit muss das
Fazit lauten, dass Einsteiger wohl besser auf grundlegendere Werke
ausweichen sollten. Erfahrene und mit praktischen Aufgaben vertraute Leser
werden sich jedoch in diesem Buch sehr schnell zu Recht finden und sicher
noch einige neue Impulse erhalten können.
Steffen Weber
