Compliance ist kein Ersatz für die gebotene Sorgfalt

Die Einhaltung gesetzlicher Vorschriften ist für IT-Führungskräfte ein notwendiger Schritt, reicht jedoch nicht aus, um das verbleibende IT-Sicherheitsrisiko auf ein erträgliches Maß zu reduzieren. Das ist keine Neuigkeit. Aber warum ist das so? Hier sind drei Gründe:

• Compliance-Vorschriften konzentrieren sich auf „gut genug“, aber das Bedrohungsumfeld verändert sich schnell. Daher ist jede Definition von „gut genug“ vorübergehend. Der Mangel an Spezifität in den meisten Vorschriften ist bewusst darauf zurückzuführen, dass diesen Faktoren Rechnung getragen wird.
• IT-Technologien verändern sich schnell. Eine adäquate Technologielösung von heute wird innerhalb weniger Jahre veraltet sein.
• Die Umstände und IT-Netzwerke sind so unterschiedlich, dass keine einzige Verordnung sie alle berücksichtigen kann. Es ist nicht möglich, für alle Fälle einheitliche Lösungen vorzuschreiben.

Der wichtigste Punkt, den es zu verstehen gilt, ist, dass die Compliance-Leitfadendokumente genau das sind: Leitlinien. Eine Zertifizierung für den Standard ist zwar notwendig, aber nicht ausreichend. Wenn Ihr Netzwerk Opfer einer Sicherheitsverletzung wird und ein Dritter Schaden erleidet, ist die Einhaltung der Richtlinien allein kein ausreichender Schutz, obwohl sie dazu beitragen kann, bestimmte behördliche Strafen abzumildern. Alle angemessenen Schritte zur Minderung des Schadenspotenzials für andere müssen umgesetzt worden sein, unabhängig davon, ob diese Schritte in den Leitlinien aufgeführt sind.

Ein starkes Sicherheitsprogramm basiert auf einem effektiven Management der Sicherheitsrisiken der Organisation. Regulierungsbehörden und Prüfer suchen nach einem Prozess, um dies effektiv zu tun.