Corporate Governance umfasst alle Regelwerke, Strukturen und Prozesse, durch die ein Unternehmen geleitet wird. Ziel der Corporate Governance ist es sicherzustellen, dass sowohl rechtliche als auch ethische und organisatorische Regulatorien eingehalten werden, sowie Transparenz, Kontrolle und Verantwortlichkeit gegenüber Kunden, Mitarbeitern oder Lieferanten bei der Unternehmensführung herrschen.
Corporate Governance und die Implementierung einer IT-Sicherheitsstrategie sind dabei eng miteinander verbunden. Insbesondere im Risikomanagement sollten Cyberrisiken als integraler Bestandteil in die Risikobewertung einer Organisation miteinbezogen werden.
Nur so können potentielle Bedrohungen und Schwachstellen identifiziert und Gegenmaßnahmen in die Sicherheitsstrategie implementiert werden. Oberstes Ziel ist der Schutz der Vertraulichkeit, der Verfügbarkeit und der Integrität sämtlicher Unternehmensdaten und IT-Systeme. Werden beispielsweise durch einen Ransomware Angriff Daten verschlüsselt und gestohlen, oder durch das Ausnutzen von Zero Day Lücken die IT-Systeme sabotiert, könnte dies unweigerlich zu einem kompletten Stillstand des Betriebs führen. Dies führt im Umkehrschluss zu Umsatzeinbußen, Nicht-Einhaltung der Lieferkette und Reputationsverlusten. Im schlimmsten Fall könnte der Schaden so gravierend sein, dass der Geschäftsbetrieb nicht weiter fortgeführt werden. Es kann nämlich bis zu 280 Tage dauern, bis sämtliche Fragmente eines Cyberangriffs entfernt und der normale Geschäftsbetrieb, wenn überhaupt möglich, wiederhergestellt ist. Unternehmen können durch die Folgen eines Cyberangriffs schnell in die Zahlungsunfähigkeit rutschen. Mitarbeiter verlieren ihre Arbeitsplätze.
Dies verdeutlicht wie wichtig es ist, dass das Management IT-Security in die Corporate Governance miteinbezieht. Insbesondere die Geschäftsführung ist wesentlich dafür verantwortlich, dass regulatorische Anforderungen, Gesetze (wie DSGVO, GmbHG) oder Lieferantenbedingungen (wie TISAX) eingehalten werden. Eine Nichtbeachtung dieser Pflicht kann unter Umständen die Geschäftsführung persönlich haftbar machen.
Um dieses Worst-Case-Szenario abzuwenden empfiehlt es sich entsprechende Maßnahmen zur Risikominderung in die IT-Infrastruktur zu integrieren. Unerlässlich ist dabei die Integration eines Patchmanagements, um Sicherheitslücken so schnell wie möglich zu schließen. Unverzichtbar ist außerdem das Sammeln und die Analyse von Logfiles. Nur so kann beispielsweise Datenabfluss frühzeitig erkannt werden, der Angriff rekonstruiert und alle Fragmente der Schadsoftware entfernt werden. Desaster Recovery Pläne sind zu entwickeln, um im Schadensfall die Fortführung des Geschäftsbetriebs (Business Continuity) sicherzustellen. Redundante Server, sowie die proaktive Überwachung mittels Intrusion Detection Systemen sollte integriert werden.
