Informationssicherheit – vom Vorstand bis zum Mitarbeitenden

Bereits vor der Konsultation der Bankenaufsichtlichen Anforderungen an die IT (BAIT) sowie der Mindestanforderungen an das Risikomanagement (MaRisk) zum 16. August 2021, war das Thema Informationssicherheit eigentlich bereits ein essenzieller Faktor in jedem Institut. Doch häufig wird heutzutage die Informationssicherheit einzig auf die IT-Sicherheit (Sicherheit von IT-Systemen oder auch IT-Anwendungen) reduziert. Weiterhin sind Fachverantwortliche, also Asset-/ Risk-Owner, teilweise noch nicht vertraut genug mit der Informationssicherheit und den Pflichten, die damit einhergehen. Dadurch ist es nur bedingt möglich, über eine BAIT-konforme Ermittlung den Schutzbedarf durch die Fachbereiche sicherzustellen. Dies zeigt sich auch in der Bearbeitung von Sollmaßnahmen (Sollmaßnahmenkatalog, Tz. 3.6 BAIT) sowie der Erhebung von Risiken bei Abweichungen.

Um den Anforderungen bedarfsgerecht begegnen zu können, ist ein grundlegendes Verständnis hinsichtlich des Themas bei Vorständen und dem Fachbereich unabdingbar. Einzig dadurch kann den Herausforderungen Rechnung getragen werden und ein kontinuierlich hohes Sensibilisierungsniveau erreicht werden, dass in Zeiten immer neuer Informationssicherheitsrisiken diesen wirksam begegnet.

Doch diese Risiken und Herausforderungen haben bereits viele Institute für sich erkannt. So auch bspw. der Gesamtvorstand der VR Bank-Main-Kinzig-Büdingen eG.  Denn zusammen mit der Bank bzw. dem Vorstand und diversen Kolleginnen und Kollegen aus den jeweiligen Fachabteilungen haben wir im Mai 2023 einen halbtägigen Workshop zu den Themengebieten Informationssicherheits- und Informationsrisikomanagement sowie zum Sollmaßnahmenkatalog als Instrument erfolgreich durchgeführt. Gerne möchten wir hiermit einen Einblick in diesen Workshop bieten:

Zu Beginn des Workshops, haben wir mit der Bank zusammen den Begriff „Informationssicherheit“ thematisiert und dessen grundlegende Bedeutung herausgearbeitet. Ziel war es, sich von dem Begriff „IT“ als Synonym für die gesamte Informationssicherheit zu lösen. Im weiteren Verlauf des Workshops ging es neben dem allgemeinen Verständnis für die Themen Informationsrisiko- und Informationssicherheitsmanagement zentral um die Einbindung von Verantwortlichkeiten in die Informationssicherheit. Mit alltäglichen und illustrativen Fallstudien wurde das Verständnis im Laufe des Workshops sachgerecht vermittelt und die Teilnehmenden für das Thema Informationssicherheit sensibilisiert.

Ein weiterer großer Baustein stellt der Sollmaßnahmenkatalog dar. Auch zu diesem wurde ein grundlegendes Verständnis übermittelt und somit die Notwendigkeit sowie die fachgerechte Bearbeitung thematisiert. Zum Ende haben wir mit der Bank zusammen einen Ausblick auf zukünftige Entwicklungen in der IT-Regulatorik (Stichwort DORA) gewagt.

Ziel war es stets, klare Zuständigkeiten und Verantwortlichkeiten für die verschiedenen Bereiche der Informationssicherheit festzulegen, diese zu verdeutlichen und in der Bank zu etablieren. Gleichzeitig lag der Fokus aber auch darauf, dass die Teilnehmenden die Bedeutung von Informationssicherheit verinnerlichen.

Im Ergebnis konnten die Teilnehmenden ein positives Fazit zum gemeinsamen Workshop ziehen und ein grundlegendes Verständnis von der Bedeutung gewinnen. Dies wurde aus den positiven Rückmeldungen, aber auch durch die Gedankengänge während des Workshops, deutlich.

Wir danken dem Gesamtvorstand der Bank vielmals für den konstruktiven und aktiven Workshop.

Sollten auch Sie sich für einen Workshop zum Thema Informationssicherheit interessieren, sprechen Sie uns gerne an!

Doch warum beschäftigen sich Banken nun eigentlich vermehrt mit dem Thema Informationssicherheit und was müssen sie beachten? Unser Kollege Christopher Stahl hat das Feedback der Bank zusammengefasst uns steht uns Rede und Antwort in einem „3 Fragen an“-Interview:

1. Wieso ist es für Banken besonders wichtig, sich mit dem Thema Informationssicherheit auseinander zu setzen?
Gerade als Bank, die über viele sensible Kundendaten verfügt, trägt man eine enorme Verantwortung in Sachen Informationssicherheit, schließlich geht es hierbei wahrlich um Kundenvertrauen, welches eine Bank natürlich nicht verspielen möchte. Und in der heutigen Zeit, in der Cybercrime kontinuierlich zunimmt, müssen die Institute eben richtig gewappnet sein.

2. Welchen besonderen Herausforderungen blicken die Banken bei diesem Thema entgegen?
Neben der technischen Komponente spielt der Faktor „Mensch" eine entscheidende Rolle. Banken müssen ihre Führungskräfte und Mitarbeitenden bewusstmachen, dass die Verantwortung für Informationssicherheit nicht nur bei den Kollegen der IT-Abteilung bzw. beim Informationssicherheitsbeauftragten liegt. Alle tragen entsprechende Verantwortung und Aufklärung ist hier unabdingbar.

3. Und wie kann das sichergestellt werden?
Vorrangig durch Sensibilisierung und stete Trainings. Hierzu haben wir unsere Workshops konzipiert, die genau darauf einzahlen und sich vertiefend mit dem Begriff der Informationssicherheit und den Mechanismen zur Einhaltung der Sicherheitsstandards beschäftigen. Für Banken ist der Umgang mit Kundendaten ein essenzieller Bestandteil des täglichen Geschäfts. Diese Daten zu pflegen ist die eine Sache, ein verantwortungsbewusster Umgang, der die Sicherheit der Daten einschließt, die andere. Wir sehen einen wachsenden Bedarf für unsere Workshops, was auch daran liegt, dass die Banken selbst mit immer mehr Daten konfrontiert werden und dadurch auch für potenzielle Cyberkriminelle an Relevanz gewinnen.