Komplexe Systeme kontrollieren
Risikomanagement in der Produktion
Trotz allem technologischen Fortschritt lassen sich Risikismen wie Maschinenstillstände und Produktionsausfälle nicht vollständig vermeiden. Bedingt durch unter Kosten- und Effizienzdruck optimierte Produktionsabläufe, bei denen ‚Just-in-time‘ oder ‚Just-in-sequence‘ geliefert wird, fallen die Folgen von Fehlfunktionen, Unfällen oder anderen Unwägbarkeiten für produzierende Unternehmen sogar zunehmend gravierender aus. Grund genug für Betriebe, potenzielle Risikofelder unter die Lupe zu nehmen, um im Notfall besser gerüstet zu sein. Denn mangelnde Sicherheitsvorkehrungen können die Existenz eines Betriebs gefährden.
Bild: Fotolia – th-photo
Die Zeiten haben sich geändert. Geschäftsführer und Vorstände müssen sich aufgrund komplexer Liefernetzwerke und damit zunehmender Abhängigkeit von äußeren Einflüssen nicht mehr ’nur‘ um den Schutz der eigenen Mitarbeiter und unternehmensinternen Anlagen kümmern. Auch die vertraglichen Verpflichtungen gegenüber Kunden und Lieferanten haben in den letzten Jahren stark zugenommen. Und nicht zu vergessen gilt es die zahlreichen gesetzlichen Verpflichtungen im Bereich IT-Sicherheit entlang der gesamten Wertschöpfungskette – angefangen bei Forschung und Entwicklung (F&E) bis hin zur Auslieferung der fertigen Produkte – die Betriebe ebenfalls erfüllen müssen.
Insgesamt kein leichtes Unterfangen für die Verantwortlichen. Denn das Risiko von negativen Auswirkungen auf den Geschäftserfolg hat sich potenziert: Neben unwägbaren wirtschaftlichen Schwankungen erwächst auch aus dem Bereich der Informationstechnologie zunehmend ein hohes Risikopotenzial. Gleichwohl ist die Bedeutung der IT für die Weiterführung der Geschäftstätigkeit nicht der einzige Grund dafür, ein gehöriges Maß an Aufmerksamkeit auf die Absicherung der eigenen IT-Systeme zu richten. Auch der Gesetzgeber fordert dies mit Nachdruck ein: Zum Beispiel im Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (Kontrag), im Bundesdatenschutzgesetz (BDSG) oder auch im Aktiengesetz (AktG) sind Normen aufgeführt, die unter anderem den ordnungsgemäßen Umgang mit Unternehmensdaten festlegen. Besonders bei Branchen, in denen Hersteller unternehmensübergreifend mit vielen Zulieferern und Kunden zusammenarbeiten und ein ständiger Austausch sensibler Daten stattfindet, wird von Unternehmen gefordert, dass sie sich mit Themen rund um IT-Sicherheit und Verfügbarkeit genauestens auseinandersetzen. Bei Nichtbeachtung drohen im schlimmsten Fall zivilrechtliche Haftung gegenüber dem eigenen Unternehmen und Dritten genauso wie strafrechtliche Verantwortlichkeit.
Abhängigkeit von der Infrastruktur birgt Risiken
Auch die Anforderungen in der Produktion sind zunehmend gestiegen: Bedingt durch Fertigung basierend auf Just-in-time- (JIT) und Just-in-sequence-Szenarien (JIS) stehen Betriebe vor drastisch verkürzten Produktentwicklungsprozessen oder dem Anspruch, Änderungen bis zum letzten Moment in die laufende Produktion überführen zu müssen. Dies alles wäre ohne IT-Unterstützung nicht realisierbar, folglich sind IT-Systeme als integraler Bestandteil der Wertschöpfungskette nicht mehr wegzudenken. Darüber hinaus ist die Infrastruktur im Unternehmen auch Träger sämtlicher Prozesse, Anwendungen und Daten. Genau hier liegt der Knackpunkt: Eine unvorhersehbare Krise kann die Existenz des Unternehmens gefährden. Denn aufgrund der hohen Abhängigkeit von der Infrastruktur bedeuten IT-Störungen oftmals eine umgehende Unterbrechung von Geschäfts- und Fertigungsprozessen.
Vom Druckerstillstand zum Lieferengpass
Die Ursachen für eine Krise sind mitunter recht trivial. Wenn etwa aufgrund einer defekten Druckerstation keine Fracht- und Lieferpapiere ausgefüllt werden können, behindert dies eventuell eine rechtzeitige Auslieferung von dringend angeforderten Ersatzteilen. Aber die Sachlage kann auch sichtbar gravierend sein, insbesondere in der Fertigung, weil die industriellen Produktionsanlagen immer anfälliger für Angriffe von außen werden. Denn hier sind heute vermehrt statt herstellerspezifischer Kommunikationsprotokolle zusammenhängende Ethernet-Lösungen oder Betriebssysteme wie Windows oder Linux im Einsatz. Die Nutzung von Informationstechnologien ermöglichen dabei eine so genannte vertikale Integration, also die Zusammenführung von technischen Prozessen und Geschäftsprozessen. Eine Kehrseite der Medaille: Durch das Zusammenwachsen der bis dato isolierten Produktions- und Bürobereiche entstehen neue Schwachstellen im System. Denn über diese Vernetzung können auch in Produktionsanlagen schwerwiegende Konsequenzen, etwa Maschinenschäden oder Produktionsausfälle, durch Schadsoftware wie Viren oder Würmer hervorgerufen werden. Das zeigte im letzten Jahr das Schadprogramm Stuxnet.
Einführung und Umsetzung von Risikomanagement
Empfohlene Vorgehensweisen und zentrale Werkzeuge
- Business Impact Analyse (BIA): Hierdurch wird unter anderem ermittelt, welche konkreten finanziellen Auswirkungen der Ausfall bestimmter Geschäfts- und Fertigungsprozesse bedeutet.
- Information Security Management System (ISMS): Ein Managementsystem für Informationssicherheit klassifizert Daten, etwa nach Relevanz für den Unternehmenserfolg oder gesetzlichen Auflagen – beispielsweise für den Datenschutz.
- Bestandsaufnahme der IT: Aufnahme zentraler IT-Komponenten und Prozesse sowie deren verständliche Darstellung in einem geschäftsbezogenen logischen Modell.
- Bestandsaufnahme von Risiken (Risk-Assessment): Als Grundlage dient der Abgleich der Prozesse mit zugehörigen IT-Anwendungen, sowie die entsprechende Bewertung der Risiken (Scoring und Priorisierung).
- Bestandsaufnahme des Sicherheits-Status (Security-Assessment): Im Rahmen dieser Überprüfung wird zum Beispiel durch Penetrationstests und andere Angriffsverfahren ermittelt, wie schnell sich ein Unbefugter Zugriff zum Unternehmensnetzwerk verschaffen kann.
Gezieltes Risikomanagment als Gegenmittel
Für den richtigen Umgang mit solchen Vorfällen und ihren potenziellen Auswirkungen muss ein Prozess im Unternehmen etabliert werden, um alle internen und externen Risiken systematisch zu identifizieren und erfassen sowie im Weiteren einzeln zu definieren und zu beschreiben. Der nächste Schritt auf dem Weg zur optimalen Einführung von IT-Risikomanagements besteht aus der Bewertung aller Risiken um die kritischen Punkte herauszukristallisieren, die etwa die Existenz des Unternehmens bedrohen könnten. Hierzu muss unter anderem untersucht werden, welche Abläufe essenziell für die Gewinnerzielung des Unternehmens sind, welche Services diese Prozesse unterstützen und welche Verfügbarkeitsanforderungen an die IT bestehen. Dabei gilt es auch Ausfallfolgen wie Konventionalstrafen oder schlechte Reputation zu bedenken. Für die wirtschaftliche Betrachtung von Risiken müssen wiederum Eintrittswahrscheinlichkeit und die zu erwartende Schadenshöhe in Relation gesetzt werden. Eine sorgfältige Abschätzung der Risiken ist auch wichtig, da bei einer vernünftigen Kosten-/Nutzenbetrachtung nicht die gesamte IT gleichmäßig abgesichert werden kann. Daher muss die Geschäftsführung entscheiden, welche Risiken sie noch zu tragen bereit ist.
Insgesamt unterstützt ein so aufgebauter Risikomanagement-Prozess neben dem bewussten Umgang mit organisatorischen Risiken durch den Einsatz von IT letztlich auch eine optimale Absicherung der Infrastruktur, orientiert an Unternehmenszielen und Geschäftsfunktionen. Dazu ist es unumgänglich, alle zur Absicherung nötigen technischen, organisatorischen und rechtlichen Schritte zusammenzufassen. Daraufhin können konkrete Maßnahmen für Business Continuity und Business Secirity angeleitet werden. Darunter fällt das Einrichten eines Backup-Servers, der im Bedarfsfall sofort in Betrieb genommen werden kann, genauso wie Verschlüsselungsmaßnahmen, um das Unternehmen gegen Spionage abzusichern. Der hohe Schutzbedarf produzierender Unternehmen fordert eine intelligente und umfassende Strategie – überhastete, punktuelle Aktionen sind nur selten zielführend.
Durchgehende Sicherheit benötigt einen Regelkreis
Risikomanagement ist Chefsache – für Einführung und Kontrolle bedarf es der Festlegung klarer Zuständigkeiten. Des Weiteren muss ein systematischer Regelkreislauf etabliert werden. Denn für eine effiziente Sicherheitsstrategie gilt es, unternehmensspezifische Gegebenheiten regelmäßig zu überprüfen – und damit unter anderem auch, ob Schutzziele und Bedrohungsszenarien noch bestehen oder ob sich neue Sachverhalte ergeben haben. Insgesamt entsteht durch diesen Prozess eine Transparenz, die nicht nur zur Reduzierung von Kosten führt, sondern auch das zeitnahe Schließen von Sicherheitslücken ermöglicht. So trägt Risikomanagement dazu bei, betriebliche und IT-bedingte Ausfälle möglichst im Vorfeld zu verhindern und notfalls auf mögliche Folgen eines Ausfalls angemessen reagieren zu können.
