Top-Trends 2010: Netzwerk-Sicherheit und GRC-Projekte

Governance, Risk und Compliance (GRC) – Hype oder Notwendigkeit?

IT-Verantwortliche in Unternehmen wollen in 2010 deutlich mehr Geld für Netzwerk-Security sowie Governance, Risk and Compliance (GRC) ausgeben. 42 Prozent der Unternehmen mit mehr als 1.000 Mitarbeitern rechnen damit, dass in diesem Jahr ihre Sicherheitsausgaben signifikant – das heißt um mindestens mehr als fünf Prozent – steigen. Das ist ein Kernergebnis aus der Studie „The State of Enterprise IT Security an Emerging Trends: 2009 to 2010“ des US-Marktforschers Forrester.

Die größten Mehrausgaben erwarten die Studienteilnehmer im Bereich der Netzwerksicherheit. 40 Prozent der großen Firmen und 37 Prozent der Mittelständler gaben an, vor allem in die Absicherung ihrer Unternehmensnetzwerke mehr Geld investieren zu wollen. 34 Prozent wollen GRC-Projekte umsetzen. Gründe dafür sind: neue gesetzliche Vorschriften, wachsender Druck von den Finanzmärkten und steigende Erwartungen der Aktionäre. Diese Faktoren rücken die Themen Corporate Governance, Risiko- und Compliancemanagement in den Mittelpunkt vieler Investitionen.

Drei wichtige Handlungsebenen des Unternehmens

Aber was versteht man eigentlich unter GRC? Und wie können die Anforderungen für GRC richtliniengetreu umgesetzt werden? Governance, Risk und Compliance beschreibt den Umgang mit schützenswerten Informationen und kann als Überbegriff für die drei wichtigsten Handlungsebenen eines Unternehmens genutzt werden.

1. Governance – Governance bedeutet Führung und definiert die Unternehmensführung durch Richtlinien, wie die Festlegung von Unternehmenszielen, die darauf angewandte Methodik zur Umsetzung oder die Planung von Ressourcen für das Erreichen.

2. Risk – Risk steht für Risikomanagement und beinhaltet den Umgang mit bekannten und unbekannten Risiken auf Grund einer vorher definierten Risikoanalyse und dem Management der Risiken. So setzen sich Unternehmen hier bereits frühzeitig mit Risiken auseinander bzw. es werden Strategien zur Risikominimierung und dem Krisenmanagement bei Risikoeintritt erarbeitet. Risk-Management wird in erster Linie auf Grund interner Policies betrieben. Das Unternehmen schützt sich und hat ein Eigeninteresse bei der Umsetzung dieser Maßnahmen.

3. Compliance – Das Einhalten interner wie externer Normen für die Bereitstellung und die Verarbeitung von Informationen ist der dritte wichtige Schwerpunkt im Bereich GRC. Compliance beinhaltet unter anderem die Vorgaben aus Normierungsbestrebungen und die Zugriffsreglementierung für die Daten sowie die gesetzlichen Rahmenbedingungen für deren Verwendung.

Beim Compliance-Management sind im Vergleich zum Risk-Management hingegen auch externe Partner oder Kunden eingebunden, denn oft geht es um eine gemeinsame Basis der Normen für Geschäftsprozesse.

Seite 2: GRC steht nicht für Sicherheit, sondern den Umgang mit schützenswerten Informationen