Comments on: Wo sind meine Daten ? http://www.enterprise2punkt0.at/2009/07/wo-sind-meine-daten.html deutschsprachiger Blog zum Thema Enterprise 2.0 Wed, 01 Feb 2012 09:29:12 +0000 hourly 1 http://wordpress.org/?v=3.3.1 By: Michael Plachy http://www.enterprise2punkt0.at/2009/07/wo-sind-meine-daten.html/comment-page-1#comment-20 Michael Plachy Sun, 02 Aug 2009 15:35:50 +0000 http://enterprise2punkt0.gentics.com/?p=16#comment-20 Treffend formuliert. Es geht in den Sicherheitsthemen immer um die Frage:<br />Wer trägt welches Risiko ?<br /><br />Entscheidungen der IT-Sicherheit besitzen, die für Controller negative Eigenschaft, dass diese nicht über eine ROI-Rechnung getroffen werden können.<br />(...und hoffentlich im nachhinein nicht verifiziert werden können)<br /><br />Mit IT-Sicherheit kann man einfach Maßnahmen und deren Kosten begründen. Allerdings wird es die 100% Sicherheit nie geben. Sicherheitszertifiezierung sichern Unternehmen bis zu einem bestimmten Grad (z.B. awareness) ab. Ich denke aber, dass der weitaus höhere Beitrag durch ein gesundes Unternehmensklima und Mitarbeiterzufriedenheit erreicht werden kann.Diesen Aspekt decken die ISO27000-Standards wenig ab.<br /><br />Grundsätzlich spricht nichts gegen ausgelagerte Datenhaltung, wenn die Kosten/Nutzen/Risiko-Analyse entsprechende ENtscheidungen unterstützt. Für solche Entscheidungen ist jedoch mit hohem Aufwand für Meinungsbildungsprozesse der von den Daten Betroffenen zu rechnen.<br /><br />Die größte Herausforderung stellen aber die Verträge dar. Denn Verletzungen des Datenschutzes oder Vertragsverletzungen haben meist geringe Konsequenzen.<br />Inwieweit hier die Risikokosten dann den Nutzen die Waage halten, wäre bestimmt eine interessante Studie. Treffend formuliert. Es geht in den Sicherheitsthemen immer um die Frage:
Wer trägt welches Risiko ?

Entscheidungen der IT-Sicherheit besitzen, die für Controller negative Eigenschaft, dass diese nicht über eine ROI-Rechnung getroffen werden können.
(…und hoffentlich im nachhinein nicht verifiziert werden können)

Mit IT-Sicherheit kann man einfach Maßnahmen und deren Kosten begründen. Allerdings wird es die 100% Sicherheit nie geben. Sicherheitszertifiezierung sichern Unternehmen bis zu einem bestimmten Grad (z.B. awareness) ab. Ich denke aber, dass der weitaus höhere Beitrag durch ein gesundes Unternehmensklima und Mitarbeiterzufriedenheit erreicht werden kann.Diesen Aspekt decken die ISO27000-Standards wenig ab.

Grundsätzlich spricht nichts gegen ausgelagerte Datenhaltung, wenn die Kosten/Nutzen/Risiko-Analyse entsprechende ENtscheidungen unterstützt. Für solche Entscheidungen ist jedoch mit hohem Aufwand für Meinungsbildungsprozesse der von den Daten Betroffenen zu rechnen.

Die größte Herausforderung stellen aber die Verträge dar. Denn Verletzungen des Datenschutzes oder Vertragsverletzungen haben meist geringe Konsequenzen.
Inwieweit hier die Risikokosten dann den Nutzen die Waage halten, wäre bestimmt eine interessante Studie.

]]> By: Michael Hafner http://www.enterprise2punkt0.at/2009/07/wo-sind-meine-daten.html/comment-page-1#comment-18 Michael Hafner Wed, 29 Jul 2009 16:01:53 +0000 http://enterprise2punkt0.gentics.com/?p=16#comment-18 Ich kämpfe mich gerade durch Security-Assessment-Unterlagen sonder Zahl und muss mir auch immer wieder die Frage stellen: Wer soll das entscheiden? <br />Geht es nur darum, Probleme aufzuzeigen? Die sich natürlich mit 2.0-Perspektiven vervielfachen? Oder streben Security-Richtlinien auch Lösungen an? <br /><br />Natürlich tun sie das, alles andere sind Unterstellungen. Zur Datenhaltung in Clouds wird es wahrscheinlich trotzdem in vielen Organisationen noch lange ein klares Nein geben. <br />Auch wenn die Sicherheitsvorkehrungen u.U. besser sind, als man sie selbst machen könnte, taucht immer noch die Frage auf: Wer garantiert das, wem glauben wir?<br />Damit tauchen neben der technischen Komponente auch noch Vertrauen und Verantwortung in dieser Fragestellung auf, womit (scheinbar) technische Probleme erst wieder zu sozialen, ethischen, organisatorische Fragestellungen, wenn nicht gar zu Glaubensfragen werden. Ich kämpfe mich gerade durch Security-Assessment-Unterlagen sonder Zahl und muss mir auch immer wieder die Frage stellen: Wer soll das entscheiden?
Geht es nur darum, Probleme aufzuzeigen? Die sich natürlich mit 2.0-Perspektiven vervielfachen? Oder streben Security-Richtlinien auch Lösungen an?

Natürlich tun sie das, alles andere sind Unterstellungen. Zur Datenhaltung in Clouds wird es wahrscheinlich trotzdem in vielen Organisationen noch lange ein klares Nein geben.
Auch wenn die Sicherheitsvorkehrungen u.U. besser sind, als man sie selbst machen könnte, taucht immer noch die Frage auf: Wer garantiert das, wem glauben wir?
Damit tauchen neben der technischen Komponente auch noch Vertrauen und Verantwortung in dieser Fragestellung auf, womit (scheinbar) technische Probleme erst wieder zu sozialen, ethischen, organisatorische Fragestellungen, wenn nicht gar zu Glaubensfragen werden.

]]>