«IT-Security verlangt Durchhaltevermögen»

Computerworld: Frau Wolf, was ist IT-Security in einer Bank eigentlich? Eine technische Disziplin mit einer ausgeprägten Management-Komponente oder eine Management-Disziplin, die über die Technik implementiert wird?

Gritta Wolf: Das Interessante am Thema IT-Sicherheit ist die Vielschichtigkeit. Aus der Sicht der IT-Architektur liegt der Fokus auf dem technischen Lösungsdesign. Eine umfassende Sicherheitslösung betrifft häufig mehrere Technologie-Ebenen und viele Prozesse und muss daher in Zusammenarbeit mit den betroffenen Engineers und Entwicklern geplant und umgesetzt werden. Über die Technik hinaus spielen aber noch weitere Disziplinen eine wesentliche Rolle für das Gesamtkonzept. Business und IT müssen sich der potenziellen Risiken bewusst sein und einen gemeinsamen Nenner finden. Hier helfen uns die Disziplinen der Risk Awareness sowie des Risk Managements, um in einem strukturierten Vorgehen Entscheidungen zu treffen.

Gibt es weitere Aspekte?

Ja, zwei. Die breite Einsetzbarkeit von Lösungen und deren Benutzerfreundlichkeit. Im Designprozess müssen die Kosten der Bewirtschaftung, die Betreibbarkeit und die Akzeptanz durch die Benutzer einfliessen. Insofern ist IT-Sicherheit aus meiner Sicht eine interdisziplinäre Aufgabe, die von vielen Abteilungen eines Unternehmens - über IT und Business hinweg - getragen werden muss.

Welche Bedeutung hat die IT-Sicherheit für eine international tätige Bank wie Credit Suisse?

Aus Kosten- und Nutzensicht möchten wir möglichst viele bestehende Sicherheitsinfrastrukturen und -applikationen weltweit nutzen. Jedoch müssen wir flexibel genug sein, um auf regionale Business-Anforderungen reagieren und regulatorische Vorgaben in den verschiedenen Rechtssprechungen erfüllen zu können. Das heisst, dass in manchen Businessbereichen sehr viel Wert auf hochsichere Lösungen gelegt wird, in anderen der Fokus zusätzlich auf schnellem Time-to-market und der Aktualität von Produkten liegt. Zudem gilt es, alle rechtlichen Vorgaben einzuhalten.

Kann man heute sagen, die IT-Security ist ein Erfolgsfaktor für das Kerngeschäft einer Bank?

Ja, IT-Security ist eine der Voraussetzungen, um als Bank erfolgreich zu sein.

Was hat sich in den vergangenen Jahren im Bereich IT und Sicherheit verändert? Was sind die Herausforderungen? Ich denke da an Spionage und Trojaner bis hin zu Hacking und Phishing.

Die sich ändernden Arbeits- und Geschäftsmodelle erfordern grössere Flexibilität in den Sicherheitslösungen. Durch neue Technologien werden unsere Kunden und Benutzer immer mobiler. Mitarbeitende können flexibler von unterschiedlichen Standorten aus arbeiten. Zudem werden gewisse Geschäfts- oder IT-Bereiche auch ausgelagert. Die IT-Security muss auf all diese Anforderungen mit adäquaten Lösungen reagieren.

Was tun Sie gegen Hacker?

Wir setzen uns ständig mit potenziellem «Misbehaviour» wie Spionage-, Hacking- oder Phishing-Versuchen auseinander. Wir überwachen unsere Sicherheitsmechanismen kontinuierlich und beobachten zusammen mit Forschungseinrichtungen und unserem Research & Development-Team die aktuellen Entwicklungen im Sicherheitsbereich, um neue Lösungen und Produkte innovativ einsetzen zu können.