Sicherheitsdaten, die Budgetmittel sichern: Was die meisten Programme noch nicht erfassen

Wenn ein Finanzvorstand fragt, was das Sicherheitsprogramm im letzten Jahr geleistet hat, können die meisten Sicherheitsverantwortlichen mit Zahlen antworten: bearbeitete Alarme, ausgestellte Ausweise, protokollierte Vorfälle, in Rechnung gestellte Arbeitsstunden von Dienstleistern. Diese Zahlen zeigen, dass das Team viel zu tun hatte. Sie helfen einem Finanzvorstand jedoch selten bei der Entscheidung, wohin das nächste Geld fließen soll.

Diese Lücke steht im Mittelpunkt eines bevorstehenden ASIS-Webinars: „Die Daten, die Sie nicht erfassen: Wie Sicherheitsverantwortliche den Wert ihres Programms nachweisen“. Im Vorfeld der Veranstaltung finden Sie hier einen Ausblick auf die behandelten Themen sowie einige Fragen, die Sie sich bereits heute in Bezug auf Ihr eigenes Programm stellen können.

Von Aktivitätsdaten zu Nachweisdaten

Sicherheitsprogramme in Unternehmen generieren bereits einen stetigen Datenstrom. Zugangskontrollsysteme protokollieren Türereignisse. Videoplattformen zeichnen rund um die Uhr auf. Vorfallberichte, Lieferantenrechnungen und Prüfungsergebnisse häufen sich standort- und regionenübergreifend an.

Der Großteil dieser Daten wurde erhoben, um zu beschreiben, was geschehen ist. Haushaltsentscheidungen erfordern jedoch etwas Nützlicheres: Belege dafür, dass Versorgungslücken geschlossen werden, dass das Risiko an jedem Standort auf die gleiche Weise gemessen wird und dass sich die Risikoexposition in die richtige Richtung entwickelt.

Sicherheitsverantwortliche, die solche Belege vorlegen können, stellen die Finanzabteilung vor eine Entscheidung, die auf überprüfbaren Zahlen basiert. Dadurch verlagert sich der Fokus von der Verteidigung einer Kostenposition hin zu Empfehlungen, wo Investitionen getätigt werden sollten.

Der tote Winkel zwischen den Kontrollpunkten

Für viele Sicherheitsteams in Unternehmen befinden sich die Programmdaten in Systemen, die anderen gehören. Die Facility-Management-Abteilung verwaltet die Zugangskontrolle. Ein Anbieter hostet die Berichte der Sicherheitskräfte in seinem eigenen Portal. Die Schulungsunterlagen liegen bei der Personalabteilung, und die Dienstpläne werden in einer Tabellenkalkulation geführt, die von einer einzigen Person gepflegt wird. Jedes Tool dient dem jeweiligen Eigentümer. Nur wenige wurden so konzipiert, dass sie einem Sicherheitsleiter einen Überblick über alle diese Daten bieten.

Diese Zersplitterung führt dazu, dass Führungskräfte davon ausgehen, mehr zu wissen, als tatsächlich der Fall ist. Zwischen den planmäßigen Kontrollen lässt sich nur schwer überprüfen, ob der Schutz zum aktuellen Zeitpunkt gewährleistet ist, ob die Verfahren wie vorgeschrieben befolgt werden oder ob sich die Rahmenbedingungen seit der letzten Überprüfung nicht geändert haben. Diese Lücken bleiben in der Regel verborgen, bis ein Finanzvorstand oder ein Vorstandsmitglied konkrete Nachweise für die Risikominderung verlangt.

Auch die Eigentumsverhältnisse spielen eine Rolle. Wenn ein Anbieter oder eine Plattform Ihre Historie verwahrt, kann eine Vertragsänderung die Daten aus jahrelangen Vorfällen gefährden. Einer der Referenten des Webinars war genau mit dieser Situation bei einer vorgeschriebenen Neuausschreibung konfrontiert, und er wird berichten, was er unternommen hat, um die Daten seines Programms zu bewahren.

Eine einheitliche Risikosprache an allen Standorten

Der Vergleich von Standorten, Ländern und Anbietern wird einfacher, wenn alle Vorfälle einheitlich benennen. Ohne diese gemeinsame Sprache landen sehr unterschiedliche Ereignisse in derselben Kategorie. Ein Besucher, der sich in der Lobby einer Unternehmenszentrale im Windschatten eines anderen Besuchers einschleicht, und ein unbefugtes Betreten eines Produktionsbereichs oder Serverraums könnten beide als „Zugriffsverletzung“ erfasst werden. In einem Quartalsbericht sehen sie identisch aus. Für das Unternehmen ist das eine jedoch nur ein Ärgernis, während das andere den Betrieb zum Erliegen bringen könnte.

Eine einheitliche Taxonomie ordnet jedem Vorfall eine einheitliche Kategorie, Schweregrad und geschäftliche Auswirkung zu – unabhängig davon, wo er auftritt und wer ihn meldet. Auf dieser Grundlage kann ein Sicherheitsverantwortlicher Standorte nach ihrem tatsächlichen Risiko einstufen, von allen Lieferanten die Einhaltung derselben Maßnahmen verlangen und dort Führungsstärke zeigen, wo sich Risiken konzentrieren. Außerdem bietet sie Unternehmen aus der Fertigungsindustrie und anderen betrieblich stark ausgerichteten Organisationen die Möglichkeit, Sicherheitsvorfälle mit den Ergebnissen in den Bereichen Produktion, Logistik und Lieferkette zu verknüpfen, die von der Unternehmensleitung bereits verfolgt werden.

Das Webinar zeigt, wie sich diese Einheitlichkeit in einem standort- und länderübergreifenden Programm gewährleisten lässt, und erläutert unter anderem, wie die Vorfallkategorien eines ehemaligen CSO ein Kostenproblem zutage förderten, das das Unternehmen zuvor überhaupt nicht mit der Sicherheit in Verbindung gebracht hatte.

Sechs Fragen, mit denen Sie Ihr Programm testen können

Im Mittelpunkt der Sitzung stehen sechs Fragen, die CSOs und CISOs von ihren Führungsteams gestellt bekommen. Versuchen Sie, jede einzelne Frage anhand der Daten zu beantworten, über die Ihr Team derzeit verfügt:

1. Kann ich darauf vertrauen, dass alle Standorte abgedeckt sind, auch wenn ich nicht vor Ort sein kann?
2. Kann ich den Wert von Sicherheit aus betriebswirtschaftlicher Sicht erläutern?
3. Kann mein Team Entscheidungen treffen, ohne zwischen fünf Systemen hin- und herwechseln zu müssen?
4. Kann ich die Einhaltung der Vorschriften nachweisen, bevor ich danach gefragt werde?
5. Wie kann ich mit denselben Ressourcen mehr Menschen schützen?
6. Wo schafft KI echten Mehrwert, und wo ist sie nur leeres Gerede?

Sollten Sie bei einigen dieser Fragen in Tabellenkalkulationen und Anbieterportalen nachschlagen müssen, finden Sie im Webinar praktische Antworten.

Nehmen Sie am ASIS-Webinar teil