Wichtige Gesetze
Risiko-Management ist eine juristische Pflicht
Anschließend müssen operative Schritte unternommen werden. Hierzu gehört die Einrichtung von Virenschutz, Firewalls, Content-Filtern, Verschlüsselungen sowie Einbruchs- und Brandschutzvorrichtungen in den eigenen Rechenzentren, weiter Zugangsregelungen zu Systemen und Räumen sowie Sicherheitsüberprüfungen bei der Personalauswahl. Ein wichtiger Bestandteil der Risikostrategie ist auch die vertragliche Absicherung der Verfügbarkeit durch Service Level Agreements (SLAs). Darüber hinaus ist eine wirksame Fall-Back-Strategie für Systemausfälle empfehlenswert.
Die Funktionsfähigkeit des Risiko-Management-Systems muss ständig überwacht werden, um auf eventuell entstehende Sicherheitslücken schnell und flexibel reagieren zu können. Dafür wird ein Risiko-Monitoring-System installiert. Darüber hinaus ist eine fortwährende Anpassung der Sicherheitsmaßnahmen an die veränderten Rahmenbedingungen erforderlich.
Die Cloud als Herausforderung
Angesichts der fortschreitenden technischen Entwicklung ist gerade der letzte Punkt unerlässlich. Das wird am Beispiel Cloud ComputingCloud Computing deutlich: Der physische Standort der Rechenzentren, in denen die Daten gespeichert werden, muss ermittelbar sein - gerade bei der Verarbeitung personenbezogener Daten - da je nach Standort unterschiedliche gesetzliche Regelungen gelten. Es sollte geklärt sein, wer Zugriff auf die Daten erhält und wie die Rechenzentren gesichert sind. Zudem muss sichergestellt sein, dass die Daten in der Cloud nach Vertragsende gelöscht werden. Alles zu Cloud Computing auf CIO.de
Im Zweifel muss eine Vereinbarung zur Auftragsdatenverarbeitung gemäß den Anforderungen nach Paragraf 11 BDSG geschlossen werden, in der insbesondere ein Katalog der einzuhaltenden technischen und organisatorischen Maßnahmen zum DatenschutzDatenschutz definiert ist. Alles zu Datenschutz auf CIO.de
- OpenStack
Die auf Linux und Python basierende Lösung "OpenStack" ist eine Art Betriebssystem für die Cloud. Das quelloffene System gilt als ein wichtiger Meilenstein in Sachen Cloud Computing und hat, nicht zuletzt aufgrund der breiten Unterstützung seitens namhafter IT-Riesen, großes Zukunftspotenzial. - Otixo
"Otixo" stellt ein innovatives Datei-Management-Tool für das Cloud-Zeitalter dar, das in erster Linie für Anwender in Frage kommt, die mehrere Online-Dienste nutzen und diese besser miteinander integrieren möchten. Dank speziellen Sicherheits- und Sharing-Funktionen können davon nicht nur Privatanwender, sondern auch Unternehmen profitieren. - Cloudability
Bei "Cloudability" handelt es sich um einen vielversprechenden Dienst, der noch in den Kinderschuhen steckt, aber bis jetzt einen rundum guten Eindruck macht. Wer viel Geld in Cloud Computing investiert und die Ausgaben im Blick behalten möchten, für den könnte die Software genau das Richtige sein. - Scalr
IT-Administratoren, die auf der Suche nach einer professionellen Lösung sind, um ihre Cloud-Anwendungsplattformen besser entwerfen, entwickeln und betreiben zu können, sind bei "Scalr" genau an der richtigen Adresse. - RightScale
RightScale bietet eine umfangreiche und anspruchsvolle Lösung an, mit der sich beliebig komplexe Cloud-Infrastrukturen effizient verwalten lassen und die in direkter Konkurrenz zu Scalr steht. - Newvem
"Newvem" bietet sich als eine zentrale, ganzheitliche Cloud-Management-Lösung an, die speziell für Firmen konzipiert ist, die Windows Azure oder Amazon Web Services nutzen.
Bring your own Device
Ein weiteres Beispiel für den ständigen Anpassungsbedarf des Risiko-Managements bietet das Thema "Bring your own Device" (ByoD). Die Unternehmen müssen sich darüber im Klaren sein, dass auf den privaten Geräten relevante Unternehmensdaten verarbeitet werden. Vor dem Einsatz von ByoD sind daher unter anderem Regelungen zu folgenden Themen zu treffen: Der Einsatz muss datenschutzrechtlichen Anforderungen gerecht werden. Hierbei empfiehlt sich eine strikte Trennung von privaten und Unternehmensdaten, da Unternehmen grundsätzlich für dienstliche Daten, insbesondere personenbezogene Daten, die volle Verantwortung tragen. Unbedingt sollten Regelungen für den Fall des Ausscheidens aus dem Unternehmen getroffen werden. Der Einsatz muss lizenzrechtlichen Erfordernissen entsprechen. Oft ist auf den Geräten Software vorinstalliert, die ausschließlich für private Zwecke genutzt werden darf. In solchen Fällen ist eine gesonderte Lizenzvereinbarung mit dem Softwareanbieter zu schließen.
Das Arbeitsrecht ist ausreichend zu berücksichtigen. In der Regel geht es um das Mitbestimmungsrecht des Betriebsrats nach Paragraf 87 Absatz 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG).
- Die 5 größten BYOD-Fallen
Bring your own Device ohne Stress gibt es nicht, dazu existieren zu viele Sollbruchstellen. Möglich ist aber - und zwar für Arbeitgeber und Arbeitnehmer - die gängigsten Fallen in diesem Zusammenhang zu entschärfen beziehungsweise ihnen auszuweichen. - Falle 1: Offene Türen für jede Art von App
Wer immer Angry Bird auf seinem iPhone gespielt hat, will nicht plötzlich damit aufhören, nur weil er das Gerät jetzt auch im Job einsetzt. Nun stiehlt der wütende Vogel lediglich Zeit, andere Apps sind dagegen gefährlich, Dropbox zum Beispiel. Wer sein iPhone beruflich nutzen will, muss Einschränkungen hinnehmen. Um dessen Akzeptanz zu erhöhen, sollte die Policy nicht rigider sein als nötig, aber ohne Blacklists und Whitelists für Apps geht es nicht. - Falle 2: Big Brother is watching you
Das sogenannte Geofencing, also die Möglichkeit, einem iPad bestimmte Zugriffe in Abhängigkeit von seinem Standort zu erlauben oder zu verbieten, ist praktisch, aber unbeliebt. Weil der Chef dadurch auch weiß, wo sich der Besitzer des Geräts gerade aufhält. Allerdings gibt es die Möglichkeit, das Monitoring nur während der Arbeitszeit einzuschalten. - Falle 3: Hohe Kosten durch mangelnde Kontrolle
Mitarbeiter, die auf irgendwelche Download-Fallen hereinfallen oder oder ohne betriebliche Erfordernis kostenpflichtige Nummern anrufen, müssen diese Kosten auch dann selbst tragen, wenn das ganze unabsichtlich geschah. Generell gibt es in den meisten Unternehmen kaum sinnvolle Anlässe, um mit mobilen Endgeräten große Datenmengen woher auch immer downzuloaden. - Falle 4: Jeden Mist ins Netzwerk einbinden
Natürlich liegt der Charme von BOYD in der Wahlmöglichkeit; jeder kann sich aussuchen, welches Gerät (zu) ihm am besten passt. Und der Chef erreicht den Abteilungsleiter vielleicht auch mal am Wochenende. In jedem Fall muss der CIO die Möglichkeit haben, sämtliche Geräte, die im Unternehmensnetzwerk angemeldet werden sollen, vorher zu checken. - Falle 5: Schlechte oder gar keine Kommunikation
Angestellte müssen wissen, was genau überwacht wird und was nicht, welche Apps potenziell gefährlich sind für ein Firmennetzwerk und welche unbedenktlich, welche Geräte und Betriebssysteme akzeptiert werden und welche nicht. Was passiert bei Verlust? Wie sie die Regeln beim Ausscheiden aus der Firma und welche Sanktionen drohen dem, der sich nicht an die Regeln hält.