Prof. Dr. Matthias Knoll

Transkript

1

2 Prof. Dr. Matthias Knoll ist Professor für Betriebswirtschaftslehre an der Hochschule Darmstadt. Sein Spezialgebiet ist die betriebliche Informationsverarbeitung mit den Schwerpunkten GRC-Management, IT-Prüfung und IT-Controlling. Er studierte an der Universität Stuttgart technisch orientierte Betriebswirtschaftslehre mit den Schwerpunkten Organisation, Wirtschaftsinformatik und Nachrichtentechnik. Im Jahr 2000 promovierte er über die Fragestellung der Abbildung und Steuerung organisationsübergreifender Geschäftsprozesse mit objektorientierten CSCW-Systemen. Es folgte bis zur Berufung an die Hochschule Darmstadt eine sechsjährige Tätigkeit im BI-Umfeld in der IT-Abteilung eines großen Finanzdienstleisters in Baden-Württemberg.

3 Matthias Knoll Praxisorientiertes IT-Risikomanagement Konzeption, Implementierung und Überprüfung Unter Mitarbeit von Markus Böhm

4 Prof. Dr. Matthias Knoll Lektorat: Vanessa Wittmer Copy-Editing: Friederike Daenecke, Zülpich, Annette Schwarz, Ditzingen Herstellung: Birgit Bäuerlein Umschlaggestaltung: Helmut Kraus, Druck und Bindung: M.P. Media-Print Informationstechnologie GmbH, Paderborn Fachliche Beratung und Herausgabe von dpunkt.büchern im Bereich Wirtschaftsinformatik: Prof. Dr. Heidi Heilmann Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über abrufbar. ISBN Buch PDF epub Auflage 2014 Copyright 2014 dpunkt.verlag GmbH Wieblinger Weg Heidelberg Die vorliegende Publikation ist urheberrechtlich geschützt. Alle Rechte vorbehalten. Die Verwendung der Texte und Abbildungen, auch auszugsweise, ist ohne die schriftliche Zustimmung des Verlags urheberrechtswidrig und daher strafbar. Dies gilt insbesondere für die Vervielfältigung, Übersetzung oder die Verwendung in elektronischen Systemen. Es wird darauf hingewiesen, dass die im Buch verwendeten Soft- und Hardware-Bezeichnungen sowie Markennamen und Produktbezeichnungen der jeweiligen Firmen im Allgemeinen warenzeichen-, marken- oder patentrechtlichem Schutz unterliegen. Alle Angaben und Programme in diesem Buch wurden mit größter Sorgfalt kontrolliert. Weder Autor noch Verlag können jedoch für Schäden haftbar gemacht werden, die in Zusammenhang mit der Verwendung dieses Buches stehen

5 v Vorwort Die steigende Abhängigkeit aller Unternehmen von der IT, die zunehmende globale Vernetzung, innovative IT- und internetbasierte Geschäftsmodelle, aber auch neue Endgeräte eröffnen nicht nur vielfältige Chancen. Sie erfordern auch eine sorgfältige Beschäftigung mit ebenso vielfältigen neuen IT-Risiken. Schließlich möchte kein Unternehmen sensible Daten offenlegen, mit Störungen in den Betriebsabläufen konfrontiert werden oder in der Öffentlichkeit negativ auffallen. Presseberichte, Studien und Konferenzbeiträge bestätigen diese Notwendigkeit. Sie verweisen auf eine wachsende Zahl einschlägiger Vorfälle und die hohe»professionalität«derjenigen, die für gezielte, immer gefährlichere Angriffe und den Diebstahl vertraulicher Daten verantwortlich sind. Erfahrene IT-Risikomanager wissen, dass sich solche Vorfälle in jeder Branche ereignen und Unternehmen aller Größen treffen können. Es ist nicht die Frage, ob, sondern nur, wann etwas geschieht und wie groß der Schaden ist. Vorkehrungen müssen also getroffen werden, und selbst das ist weder einfach noch Erfolgsgarantie. Immer wieder stellen Experten fest, dass neue Schwachstellen entstanden sind, ehe alte beseitigt werden konnten, und ergriffene Maßnahmen wirkungslos werden, ehe bessere einsatzbereit sind. Der Umgang mit IT-Risiken, das IT-Risikomanagement, ist deshalb ein ständiger Prozess. Es gibt unterschiedliche Möglichkeiten, diese Aufgaben zu bewältigen. Um die Grundlagen zu vermitteln, die Theorie darzustellen und beides mit Erfahrungen aus der Praxis anzureichern, ist dieses Buch entstanden. Interviewpartner aus Unternehmen unterschiedlicher Größe haben den Blick aus Forschung und Lehre um die Erfahrung derjenigen ergänzt, die IT-Risikomanagement täglich betreiben, immer in dem Bestreben, Risiken von ihrer IT fernzuhalten. Alle Sachverhalte, Abkürzungen und Strukturen in den Beispielen wurden gezielt verfremdet. Ähnlichkeiten mit Verhältnissen in bestimmten Unternehmen wären rein zufällig und nicht beabsichtigt. In einem einzelnen Buch können niemals alle Facetten ausführlich diskutiert werden. Es wird immer Aspekte geben, die unberücksichtigt